È bastato un indirizzo di posta elettronica certificata, sottratto sei mesi prima, per convincere una piattaforma bancaria digitale da miliardi di euro a consegnare passaporti, indirizzi di residenza e movimenti finanziari di centinaia di persone. Protagonista involontaria della vicenda è Revolut, il gruppo britannico diventato negli anni un temibile concorrente degli istituti di credito tradizionali in Europa, che è caduto nella trappola di una banda di criminali informatici, finendo per trasmettere loro i dati di circa 700 clienti.
Come ha funzionato l’inganno della finta mail delle autorità
Per riuscire nel colpo, i responsabili dell’attacco non hanno avuto bisogno di violare direttamente i server di Revolut. È bastato, almeno secondo quanto riferito dagli stessi autori al portale International Cyber Digest, presentarsi con un account ufficiale di posta elettronica certificata delle forze dell’ordine italiane, precedentemente compromesso. Attraverso quell’indirizzo hanno inviato alla sede lituana della banca digitale una richiesta apparentemente collegata a un’inchiesta della procura di Milano, sollecitando informazioni su un ampio numero di correntisti. Il dominio risultava autentico e la motivazione formalmente plausibile: davanti a una richiesta così corposa, Revolut non avrebbe effettuato ulteriori verifiche né contattato le forze dell’ordine per confermarne l’origine. Ha semplicemente evaso la richiesta, inviando tutto il materiale.
La ricostruzione fornita da Revolut
Nel commentare l’accaduto, Revolut ha parlato di una \”truffa sofisticata\”, precisando di aver informato tempestivamente sia i clienti coinvolti sia le autorità competenti, comprese quelle per la protezione dei dati personali e gli organismi di vigilanza finanziaria. Secondo l’azienda, i propri sistemi informatici non sarebbero stati violati direttamente e nessun fondo risulterebbe sottratto dai conti correnti. Resta tuttavia il fatto che i dati personali sono effettivamente finiti in mano estranea: tra le informazioni trafugate figurano nome completo, data di nascita, professione, indirizzo, recapiti, copia del documento d’identità o della patente e la fotografia raccolta al momento dell’apertura del conto. La società ha comunque specificato che i dati biometrici veri e propri non sarebbero stati coinvolti nella fuga.
Chi sono le vittime dell’attacco
Il collettivo che rivendica la responsabilità dell’operazione si presenta con il nome IAmNotAVillain e ha creato un sito dedicato alla diffusione del materiale sottratto, pubblicandone alcuni estratti anche su Telegram. Secondo le dichiarazioni rilasciate a International Cyber Digest, la maggior parte dei clienti coinvolti risiederebbe in Svizzera e in Francia, ma tra i dati compaiono anche cittadini di una trentina di altri paesi, Italia e Regno Unito inclusi. Fra i nomi emersi ci sarebbero il calciatore del Barcellona Georges Mikautadze, il tennista kazako Alexandr Shevchenko e, secondo quanto riportato dal Financial Times, l’ex amministratore delegato di Mt. Gox, Mark Karpelès. Il numero complessivo delle persone colpite, stimato in 680 unità da alcune testate specializzate, non ha ricevuto conferma ufficiale da Revolut. Nel frattempo gli hacker avrebbero richiesto un riscatto pari a 10mila bitcoin, equivalenti a circa 673 milioni di euro al cambio attuale.
Sei mesi di accesso non autorizzato e 147 gigabyte trafugati
Secondo la versione fornita dagli aggressori, l’operazione sarebbe iniziata sei mesi fa, quando sarebbero riusciti a compromettere un account con dominio @pec.interno.it riconducibile alle forze dell’ordine italiane, verosimilmente alla polizia di Stato. Da quell’accesso avrebbero estratto 147 gigabyte di materiale, comprendente documenti interni, agende di lavoro e dati personali del personale. A riprova delle loro affermazioni, gli hacker hanno diffuso alcuni screenshot delle intestazioni delle email, pubblicati anch’essi da International Cyber Digest.
Al momento né il ministero dell’Interno né l’Agenzia per la cybersicurezza nazionale hanno rilasciato dichiarazioni ufficiali sull’accaduto.
Il meccanismo legale trasformato in strumento d’attacco
La procedura sfruttata dai criminali informatici ha una denominazione precisa, ordine europeo di indagine, ed è lo strumento previsto da una direttiva comunitaria del 2014 che impone agli istituti bancari di fornire informazioni alle autorità giudiziarie e governative degli altri Stati membri dell’Unione. È proprio l’automatismo di questo obbligo, concepito per accelerare la cooperazione giudiziaria all’interno dell’UE, ad essersi rivelato il punto debole sfruttato per portare a termine il furto di dati.