Attacco hacker «Man in the Mail»
Revolut, i dati dei clienti consegnati agli hacker: «La richiesta è partita da una Pec compromessa prefettura di Reggio Calabria»
Secondo fonti del Corriere, Revolut ha ricevuto una «finta e-mail» dalla prefettura di Reggio Calabria e ha poi trasmesso documenti d’identità, Iban, selfie di verifica e cronologia delle transazioni a un gruppo di hacker che si è spacciato per l’autorità pubblica. Circa 680 i clienti avvisati.
Roberto Cosentino
La compagnia fintech britannica Revolut, ha consegnato dati personali e finanziari di alcuni suoi clienti ad un gruppo di criminali informatici. Nessun hacking, il caso è diverso dai precedenti in cui un’istituzione o un’azienda viene «bucata» da un attacco. L’elemento nuovo di questo episodio è che la fintech ha consegnato dati sensibili dietro ad una apparentemente legittima richiesta inoltrata tramite una pec compromessa della prefettura di Reggio Calabria con la quale i criminali hanno scritto a nome della polizia postale. Il gruppo di hacker è riuscito infatti a spacciarsi per l’autorità pubblica italiana. La fintech non ha subito alcuna intrusione, dal momento che la richiesta è stata inoltrata dalla casella di posta elettronica certificata «compromessa» (una Pec) della prefettura. Motivo per cui ha superato i controlli di autenticazione prima e trattata come una richiesta autentica poi, come un normale adempimento di legge. Inizialmente i messaggi non hanno insospettito Revolut che ha inviato i dati richiesti. Le e-mail sarebbero poi proseguite finché l’azienda non ha voluto vederci chiaro e si è rivolta direttamente all’istituzione italiana che ha negato di essere la fonte dei
messaggi.
Sull’episodio sta indagando la polizia postale: l’ipotesi di reato è accesso abusivo a sistema informatico e frode informatica.
La società, che con oltre 80 milioni di clienti (5 milioni di Italiani, secondo i dati dello scorso maggio pubblicati da Milano Finanza) è la maggiore fintech europea, ha confermato l’incidente il 12 settembre. In una mota o ha definito una «sofisticata truffa di impersonificazione esterna» e parlato di un numero «molto limitato» di persone coinvolte. «Una terza parte non autorizzata – si legge nella nota – ha utilizzato un’email di dominio legittima di un’agenzia governativa per inviare richieste fraudolente di informazioni. Al momento del rilevamento, abbiamo immediatamente bloccato l’indirizzo e avvisato l’agenzia governativa competente, così come le agenzie di applicazione della legge, la protezione dei dati e i regolatori finanziari. I sistemi Revolut e i fondi dei clienti non sono stati toccati. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle e fornire supporto».
Il Financial Times, citando fonti a conoscenza dell’indagine interna, riferisce che i clienti contattati dall’azienda sarebbero circa 680: una cifra che Revolut non ha confermato pubblicamente. Il 15 settembre l’Information Commissioner’s Office, l’autorità britannica per la protezione dei dati, ha reso noto di aver avviato un’indagine sull’incidente, dopo che la fintech si era autodenunciata all’organismo di controllo alcuni giorni prima.
Il meccanismo utilizzato è quello che gli specialisti chiamano impersonificazione di autorità: una richiesta di informazioni su un cliente, formalmente identica a quelle che banche e istituti finanziari ricevono ogni giorno da procure e forze di polizia, inviata però un gruppo di criminali informatici. A rendere l’inganno efficace è stato il canale. La posta elettronica certificata attribuisce valore legale alla trasmissione di un messaggio: certifica che un documento è partito da un determinato indirizzo, che è stato consegnato e in quale momento. È il motivo per cui viene usata per le comunicazioni giudiziarie, ed è il motivo per cui una richiesta che arriva da una Pec istituzionale viene considerata attendibile senza ulteriori controlli.
Come più nello specifico afferma sui propri social Paolo del Checco, consulente informatico forense, l’attacco in sé viene definito «Man in the Mail». L’attaccante si sarebbe insidiato all’interno della Pec dell’Istituzione italiana attraverso un infostealer, ovvero un software in grado di infettare un Pc per recuperare informazioni che gli hacker possono sfruttare a proprio piacimento. Così facendo, gli hacker non avrebbero falsificato un messaggio, ma avrebbero preso il controllo di una casella vera. Ogni loro richiesta è partita davvero dall’indirizzo di un ufficio pubblico, con tutte le certificazioni in regola, e nessun controllo automatico poteva accorgersene.
La violazione dei dati personali
Il materiale trasmesso è quello che un istituto finanziario raccoglie in fase di apertura del conto e conserva per obblighi antiriciclaggio. Secondo quanto riferito dal Financial Times e da Reuters, e in base al materiale pubblicato dagli stessi attaccanti, comprende dati anagrafici e professionali, indirizzi di residenza, recapiti telefonici ed e-mail, copie di passaporti e patenti, le fotografie inviate per la verifica facciale in fase di registrazione, coordinate bancarie, estratti conto, storico dei prelievi e cronologia delle transazioni, comprese quelle in Bitcoin. Tra i clienti che hanno subito il data breach, anche nomi illustri, come il tennista Schevcenko e Mark Robert Karpelès, imprenditore francese ed ex Ceo della piattaforma di scambio di bitcoin Mt. Go. A Karpelès la notifica di Revolut è arrivata alle 5.25 del 12 settembre e lì per lì l’ha scambiata per l’ennesimo tentativo di truffa; anche Marc Zeller, altro nome noto del settore, ha reso pubblico su X di essere tra i coinvolti: documenti d’identità, Iban, estratto conto, storico delle operazioni.
Fin qui siamo nel territorio delle informazioni confermate. Nelle ultime ore, però, è emersa una seconda parte della storia, per il momento basata esclusivamente sulle dichiarazioni dell’attaccante, con il quale abbiamo preso contatto, e quindi da prendere con la necessaria cautela.
Il gruppo: come agisce
Il gruppo, che si presenta con lo pseudonimo iamnotavillain, sostiene di essere rimasto a lungo all’interno dei sistemi delle forze dell’ordine italiane: «Abbiamo registrato oltre 87 mila file, per un valore di 147 GB di documenti, e-mail, file personali». Alla richiesta di indicare quali strutture siano state colpite, la risposta è stata negativa: «Non possiamo rivelare quale dipartimento sia stato violato per arrivare a Revolut (ma al Corriere risulta appunto che sia la polizia postale), ma possiamo dire che nell’attacco in Italia sono stati coinvolti molti dipartimenti». Sollecitati sull’adeguatezza delle difese informatiche delle forze di polizia italiane, hanno risposto che andrebbero profondamente riviste: «Conosciamo diverse persone che hanno ottenuto molto facilmente l’accesso alle e-mail delle forze dell’ordine italiane; ogni casella, se attiva, può contenere decine di gigabyte di messaggi, ciascuno con documenti allegati». Un account di intelligence informale, International Cyber Digest, ha riferito che l’operazione sarebbe durata circa sei mesi e avrebbe coinvolto più sistemi delle forze dell’ordine.
Sul sito del collettivo si possono leggere i motivi per cui hanno attaccato l’azienda a colpi di ingegneria sociale e sembra quasi un manifesto: «Revolut ha ricevuto una segnalazione riguardante un database di utenti. L’hanno ignorata, quindi li stiamo smascherando per non aver protetto adeguatamente le informazioni degli utenti e per aver inviato dati da una giurisdizione diversa».
Il Financial Times riporta che gli hacker minacciano di voler rendere pubbliche le informazioni rubate se Revolut non pagherà il riscatto, ma su questo aspetto c’è ancora poca chiarezza. L’azione portata avanti dagli attaccanti sembra più una «sorta di denuncia» nel modo di gestire la piattaforma. Gli hacker hanno risposto così: «Siamo solo all’inizio. Siamo contrari alle ingiuste normative KYC (Know Your Customer), che Revolut stava applicando. Abbiamo anche scoperto che stavano inviando dati al di fuori della loro giurisdizione, il che costituisce una chiara violazione delle leggi internazionali sui dati».
Cosa sono i «KYC»
KYC ovvero Know Your Customer (conosci il tuo cliente) è un sistema attraverso il quale chi eroga un servizio come ad esempio una banca, deve obbligatoriamente verificare l’identità di un utente. Come ad esempio un selfie, un documento e così via. Per quanto riguarda l’affermazione degli hacker, è bene precisare che non trova riscontro nella informativa sulla policy per i clienti svizzeri di Revolut. La stessa prevede infatti che i dati possano essere condivisi con le autorità governative o le forze dell’ordine per ragioni legali, indagini o antifrode e contempla anche trasferimenti al di fuori della Svizzera e dello Spazio economico europeo per adempiere a obblighi legali e normativi.
Tuttavia, nel presunto materiale attribuito a Revolut condiviso dal gruppo hacker, compare una comunicazione di cui l’autenticità non è stata confermata. La società avrebbe infatti chiesto all’interlocutore, di distruggere tutta la documentazione trasmessa relativa a quattro clienti. Questo perché i conti erano soggetti a una diversa giurisdizione e che, per i vincoli legati al segreto bancario, quelle informazioni non avrebbero dovuto essere fornite.
Tra i file mostrati a chi scrive compaiono migliaia di messaggi in formato .eml, alcuni dei quali presentano denominazioni caratteristiche delle comunicazioni giudiziarie italiane. Nei nomi dei file ricorrono sigle come RGPM-NT e RGGIP-NT, accompagnate dal numero e dall’anno del procedimento, oltre a riferimenti a procedimenti penali, pubblici ministeri e al cosiddetto «mod. 44», il registro utilizzato per le notizie di reato contro ignoti.
Abbiamo confrontato queste nomenclature con documentazione pubblicamente disponibile: la struttura dei codici corrisponde a quella utilizzata dagli uffici giudiziari italiani. Altri campioni mostrano indirizzi appartenenti a domini istituzionali della Polizia di Stato e dell’amministrazione giudiziaria; diversi indirizzi verificati trovano corrispondenza nei recapiti pubblicati dalle stesse amministrazioni. Abbiamo contattato le forze di polizia e le istituzioni coinvolte, che abbiamo contattato per un commento.
L’interrogazione parlamentare
Intanto, l’onorevole. Giulia Pastorella di Azione ha affermato: «Quante altre mail sono state inviate da quella Pec governativa? Quante altre aziende sono finite vittime di questa truffa? Se le notizie dovessero essere confermate, nessuno dei nostri dati potrebbe dirsi al sicuro. Il Ministero deve immediatamente chiarire quanto accaduto. Porterò il caso in Parlamento con un’interrogazione urgente»
Caso Revolut, l’hacker chiede riscatto di 3 milioni per i file rubati. «Ho 147 Giga di dati delle forze dell’ordine italiane»
Sull’episodio restano molti dubbi e molte cose da chiarire: i soldi sul conto sono a rischio? E la Pec è ancora sicura? Si muove il Garante Privacy
Roberto Cosentino e Paolo Ottolina
La vicenda di Revolut e degli hacker che sono riusciti a farsi consegnare dalla banca digitale britannica i dati di centinaia di clienti dopo aver violato la Pec di una Prefettura, non è ancora terminata e lascia molte domande aperte.
Il gruppo, che si presenta con lo pseudonimo «iamnotavillain», ha chiesto a Revolut un riscatto di 3 milioni di dollari da pagare entro 24 ore in XMR, sigla della criptovaluta Monero, «altrimenti i dati saranno venduti e il sangue sarà sulle vostre mani».
L’hacker (o gruppo di hacker) sostiene anche di essere rimasto a lungo all’interno dei sistemi delle forze dell’ordine italiane: «Abbiamo registrato oltre 87 mila file, per un valore di 147 GB di documenti, e-mail, file personali».
Intanto le opposizioni hanno chiesto sul caso un chiarimento immediato da parte del ministro dell’Interno Piantedosi.
E l’Autorità Garante della Privacy ha disposto una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane, sia per appurare se vi siano stati altri casi di tentata infiltrazione, come nella vicenda Revolut, sia per richiamare gli istituti bancari a un controllo efficace al proprio interno. strumenti”.
Sono uno dei cinque milioni di clienti italiani di Revolut: devo temere qualcosa per il mio conto corrente o i miei investimenti?
I clienti colpiti sono circa 680, tutti di alto profilo. L’attacco è stato inoltrato dagli attaccanti anche per individuare le cosiddette «whales» (balene), ovvero quegli account che accumulano grandi quantità di criptovalute di varia natura. Quindi se non sono arrivate comunicazioni probabilmente significa che i proprio dati non sono tra quelli esfiltrati. L’attacco non ha compromesso i sistemi software di Revolut, che precisa «i fondi dei clienti non sono stati compromessi».
Qual è stata la tecnica utilizzata dall’hacker, più nel dettaglio?
L’attacco che ha sottratto i dati dei clienti più facoltosi di Revolut si spiega con una tattica sfacciata ma lineare: la pesca a strascico (in gergo «spray and pray»).
A rivelarlo – secondo quanto riporta l’account Korra su X, portavoce del sito di criptovalute e betting Duel.com, che indaga sui movimenti blockchain – è lo stesso hacker, noto con lo pseudonimo «IAmNotAVillain». Il meccanismo era semplice: scandagliare la blockchain pubblica a caccia di passaggi milionari e indirizzi di deposito riconducibili all’istituto britannico, per poi bussare alla porta della conformità legale con un falso European Investigation Order (Eio in sigla, l’ordine investigativo europeo usato dalla magistratura). Fingendosi un’autorità giudiziaria, il pirata ha inoltrato centinaia di identificativi di transazioni chiedendo i profili dei titolari: gli operatori hanno ritenuto autentico l’atto, aprendo gli archivi e recapitandogli per mesi interi faldoni con i dati personali dei patrimoni più pesanti della piattaforma.
Se però i miei dati fossero in mano agli hacker, quali sono oggi i rischi più concreti? A cosa devo stare attento?
Revolut ha dichiarato che sono usciti dal suo controllo dati identifiativi degli utenti come nome, cognome, telefono ed email oltre a foto dei documenti d’identità e autoscatti fatti dai clienti per iscriversi al servizio; infine, dati finanziari come Iban, codici e date di riferimento ed elenco delle singole transazioni bancarie, incluse quelle in bitcoin.
Dal Checco: «Chi ne ottiene il possesso può quindi fare truffe a nome del cliente (iscrivendosi a siti, aprendo conti bancari, finanziamenti, etc… con i dati e documenti d’identità), ma allo stesso tempo truffarlo più agevolmente dato che con i dettagli in possesso dei criminali è più semplice ingannare un soggetto convincendolo a fare transazioni bancarie, fornire ulteriori dati o comunque cadere vittima di raggiri.
Importante quindi prestare attenzione, nei giorni a venire, a tutto ciò che riguarda i conti bancari, le carte di credito e le transazioni crypto, dato che potrebbe trattarsi di eventi finalizzati a truffe e raggiri».
Mongini: «Se fossero stati esfiltrati documenti su accertamenti riservati, le conseguenze potrebbero comprendere l’esposizione delle persone coinvolte, pressioni sui funzionari e la possibilità per i soggetti interessati di anticipare le verifiche. Anche conoscere l’esistenza di un accertamento, senza possederne l’intero fascicolo, può avere un valore operativo. Mi aspetto provvedimenti concreti e piuttosto severi: interventi finanziati, responsabili individuati, scadenze e verifiche indipendenti. Parallelamente mi aspetto un’ondata di problematiche non indifferente da qui in avanti. Paradossalmente, questi enti chiedono un rigore ai clienti che non riescono a far loro».
La Pec in questo caso è stata davvero «bucata»? E poi: che cosa certifica davvero una Pec: il mittente oppure soltanto la casella da cui parte il messaggio?
La Pec dalla quale sono arrivate le richieste a Revolut è stata attaccata tramite un «infostealer», cioè uno quei malware che – una volta infettato un pc – va a rubare le password ivi presenti. Con esse poi gli attaccanti entrano, in autonomia, negli account email, Pec inclusa, per rimanere al loro interno anche per mesi.
La tecnica di attacco e permanenza nella mailbox delle vittime è chiamata «Man in The Mail», peché l’attaccante rimane nella mail (ovviamente si connette da un suo PC, non da quello della vittima) e legge i messaggi, li cancella se non vuole che il proprietario della casella li legga e ne può scrivere al suo posto, eliminando poi le risposte ottenute così da rimanere invisibile anche per mesi.
In questo modo, le Pec inviate risultano effettivamente partire dall’account originale, anche se a inviarle non è stato il funzionario ma l’attaccante, comodamente piazzato nella sua postazione.
Revolut ha fatto bene a rispondere alle richieste partite da una Pec riconducibile alla Prefettura di Reggio Calabria?
In una lunga nota prova a chiarire questo aspetto, su X, Cristian Palusci, ex ufficiale dell’esercito ed esperto di Bitcoin, che afferma: «C’è un aspetto grottesco (…) di natura giuridico-procedurale. La Pec delle Istituzioni italiane da cui è partita la richiesta a Revolut, infatti, coordina l’ordine pubblico, ma non ha la competenza penale per emettere ordini di acquisizione di dati bancari all’estero (i quali spettano alle Procure della Repubblica tramite canali giudiziari dedicati). A tal proposito, “Il team legale di Revolut ha quindi accettato un finto Ordine Europeo di Indagine (OEI) formalmente inviato da un ufficio amministrativo che non avrebbe mai dovuto emetterlo».
Che controlli sono mancati allora?
Dice Dal Checco: «Sarebbe opportuno che le banche facessero ulteriori verifiche, ma spesso si basano sull’originalità della Pec (di cui trovano riscontro, ad esempio, nei siti istituzionali online) e sui documenti legati al decreto del Pubblico Ministero o del Giudice che vengono allegati.
Ovviamente tali documenti allegati sono facilmente falsificabili e sarebbe difficile per una banca chiamare la Procura o il Tribunale per verificare se il procedimento penale citato è autentico, se il Pm ha davvero autorizzato, se la Polizia Giudiziaria è stata effettivamente delegata a svolgere le indagini.
Per questo motivo sono nati portali per le richieste di law enforcement, che sono in uso a diversi provider, nei quali le Forze dell’Ordine possono registrarsi in modo ufficiale e fare le proprie istanze di richiesta di atti, documenti, log o quanto utile alle indagini, il tutto in modo tracciabile e autenticato da entrambe le parti. Fidarsi del solo indirizzo email chiaramente non è il massimo in termini di sicurezza, anche se ancora oggi possiamo leggere nelle varie Law Enforcement Guidelines, disponibili online per diverse realtà, che le risposte verranno date soltanto «at the official law enforcement email address of the requesting officer» e che le interlocuzioni verrano ammesse solo attraverso «valid and official government or law enforcement email address». Ovviamente stabilire se una mail sia valida e ufficiale non è per nulla banale, come dimostra il caso di Revolut».
Un’autenticazione a due fattori avrebbe potuto impedire un attacco del genere, oppure un «infostealer» può aggirarla?
Un infostealer può spesso aggirare un’autenticazione a due fattori, soprattutto se vengono prelevati direttamente i dati di accesso a una mailbox che utilizza, ad esempio, il protocollo Imap e per la quale, se non viene utilizzato il protocollo Oauth, si ricorre infine a uno username e una password.
Anche provider di posta italiani che permettono agli utenti di proteggere le proprie Pec con l’autenticazione a due fattori (2FA), quando l’utente vuole utilizzare un client di posta come Outlook o Thunderbird ricorrono a una «password per le App», che è ovviamente vulnerabile a un infostealer se viene prelevata.
Quanto è replicabile questo attacco? Potrebbe funzionare allo stesso modo contro altre banche, operatori telefonici o aziende che ricevono richieste dalle autorità?
L’attacco è certamente replicabile e stando a quanto hanno dichiarato pubblicamente gli attaccanti, pare sia effettivamente stato replicato, chiedendo dati anche ad altre banche, exchange di criptovalute o società e provider. Quindi aspettiamo di capire quanti altri data breach sono avvenuti e dove.
Dove sta la falla più grave della vicenda? Nella sicurezza dell’ente pubblico, nel sistema Pec o nelle procedure di verifica di Revolut?
«Tutti gli attori di questa videnda avrebbero potuto certamente operare meglio – dice Dal Checco -. Revolut avrebbe potuto cifrare il dato e inviare la password a un indirizzo o contatto separato, così da ridurre la possibilità che chi controllava la Pec potesse leggere il contenuto protetto. Chiaramente avrebbero dovuto valutare bene quale contatto sicuro usare, magari un telefono della sede requirente presente online (chiamando e comunicando password a voce) oppure anche una mail ordinaria certa perché anch’essa pubblicamente verificabile: l’importante è non inviare dato cifrato e password allo stesso indirizzo».
Come hanno fatto a Revolut ad accorgersi della falla? E c’è una responsabilità della banca inglese?
È fondamentale il controllo su un canale indipendente, quello che tecnicamente chiamiamo «out-of-band» spiega Claudia Mongini, «ovvero contattare l’ufficio competente attraverso recapiti già verificati o reperiti (e ripeto verificati) autonomamente. Chiedere conferma rispondendo alla stessa casella email compromessa significa chiedere all’attaccante di garantire per sé stesso».
Il già citato Cristian Palusci su X aggiunge: «A mio avviso la responsabilità di Revolut diventa palese, al netto dei legittimi tentativi della banca fintech di ridimensionare le proprie omissioni. È cosa ben nota infatti che gli accessi Pec governativi siano in vendita sul dark web da anni».
Paolo Dal Checco: «È chiaro che sarebbe stato opportuno fare queste verifiche, ma non è pensabile che un provider estero contatti la Procura o il Tribunale in modo ufficiale per chiedere conferma della validità dell’istanza. Ci sono protocolli di reciproco riconoscimento ma difficilmente funzionano con enti privati. Magari una telefonata al corpo di appartenenza della Pec avrebbe aiutato, ma anche in questo caso, posso immaginare continue chiamate in inglese che devono poi essere girate alla sezione corretta, per le opportune verifiche di ogni richiesta, rischierebbe di bloccare buona parte delle istanze di accesso da parte dell’autorità giudiziaria».
Infine, l’ente la cui Pec è stata compromessa: dov’è stato l’errore?
Ancora Dal Checco: «Avrebbe potuto fare maggiori controlli sugli accessi, cambiare password più spesso, verificare la presenza di eventuali filtri di forward o blocco email (spesso chi fa attacchi di tipo MITM ne imposta diversi) e controllare ogni tanto i log, cioè i registri delle attività. Che per le Pec sono ufficiali, rimangono validi anni ma, ahimé, nessuno controlla)».
«Negli ultimi anni le istituzioni italiane hanno fatto progressi significativi, seppur non omogenei, ma resta ancora lavoro da fare per fronteggiare efficacemente le minacce moderne, che non sfruttano solo possibili falle tecnologiche ma anche gli errori umani. Questo incidente dimostra quanto sia importante rafforzare le procedure e i processi», dice Marco Fanuli.
Mongini: «Sul versante pubblico, la domanda è inevitabile: come si può pretendere dai privati il rispetto di standard elevatissimi se poi strumenti istituzionali critici risultassero lasciati senza controlli adeguati? Servono evidenze su come vengono gestiti gli accessi, su come vengono rilevati gli abusi e come vengono affrontati gli incidenti, perché l’autorevolezza dell’ente non può sostituire la sicurezza dei suoi strumenti».
Secondo alcune indiscrezioni, gli hacker avrebbero avuto accesso agli account di posta dei dipartimenti italiani per circa sei mesi. Cosa vuol dire per gli utenti che hanno potenzialmente subito una violazione della propria privacy e i cui dati rischiano di essere condivisi online?
Abbiamo potuto individuare, in uno degli screenshot inviati dagli hacker al Corriere, che tra i dati a disposizione degli attaccanti ci sono e-mail con oggetto «Rgpm» e «Rgnr», ovvero dati che arrivano dalla Procura e che si riferiscono al numero di registro del pubblico ministero e vengono assegnati ai fascicoli di indagini aperti. Tra questi anche il numero di registro dell’ufficio del Gip, quando i fascicoli vengono assegnati a quest’ultimo e in genere servono per identificare procedimenti penali e processi. «Tali indagini sono coperte da segreto fino alla fine delle stesse» dice Aurora Passoni. In questo caso, ad aver violato il segreto sarebbero stati gli hacker, che hanno violato i sistemi.
Gli hacker chiedono il riscatto a Revolut. Minaccia all’Italia: “Abbiamo documenti della Polizia”.
Il collettivo dichiara di avere compromesso, per sei mesi, i sistemi delle forze dell’ordine italiane e di possedere 147 GB di dati provenienti da diversi servizi di polizia italiani. In serata la richiesta di 3 milioni alla banca digitale
Alessandro Longo
Nelle mani dei criminali che hanno colpito Revolut c’è forse un tesoro di dati delle istituzioni italiane e chissà cosa c’è dentro. Loro – il gruppo hacker IAmNotAVillain – dichiarano di avere compromesso, per sei mesi, i sistemi delle forze dell’ordine italiane e di possedere 147 GB di dati provenienti da diversi servizi di polizia italiani, tra cui documenti interni, calendari e materiale personale, come le conversazioni di un agente che litiga con sua moglie. Hanno anche pubblicato uno screenshot a conferma che mostra una cartella denominata “Italy”, di 147 GB, contenente 36.393 file distribuiti in 5.223 cartelle.
Se fosse vero, sarebbe inquietante e infatti sul punto indaga la Polizia Postale, come apprende Repubblica, e si stanno moltiplicando le richieste di spiegazione al governo da parte delle forze politiche. A quanto risulta, anche il Copasir (Comitato parlamentare per la sicurezza della Repubblica) sta per avviare un’indagine, per le evidenti ricadute sulla sicurezza nazionale.
La richiesta di riscatto
Nel frattempo il collettivo continua a colpire il suo bersaglio principale: dopo aver carpito dati d’identità dei quasi 700 clienti internazionali avrebbero chiesto all’azienda il pagamento di un riscatto pari a 3 milioni di dollari entro 24 ore: altrimenti minacciano di vendere i dati ad altri gruppi criminali. Lo riporta il Financial Times, citando un messaggio online attribuito allo stesso gruppo di pirati informatici.
Le interrogazioni parlamentari
“Le notizie che si susseguono sul caso Revolut, ove fossero confermate, sarebbero estremamente gravi e richiedono quindi un chiarimento immediato da parte del Governo. Per questo abbiamo depositato un’interrogazione urgente al ministro dell’Interno Matteo Piantedosi”, hanno dichiarato i senatori del Partito democratico, Lorenzo Basso e Antonio Nicita. Anche da Avs e Azione hanno annunciato interrogazioni simili. “Revolut – aggiungono i senatori – ha confermato di aver trasmesso dati personali e finanziari riservati di alcuni propri clienti in risposta a richieste fraudolente provenienti da un indirizzo appartenente al dominio autentico di un’autorità governativa”. È stato già accertato che le richieste sono state inviate attraverso una casella Pec compromessa della Prefettura di Reggio Calabria, quindi riconducibile al Ministero dell’Interno, utilizzata dagli attaccanti per presentarsi come appartenenti alla Polizia Postale.
“Una ricostruzione sulla quale è necessario che il Governo faccia immediatamente chiarezza”. “Se questi fatti fossero confermati, saremmo di fronte – proseguono i senatori dem – a un problema che va ben oltre il pur gravissimo episodio che ha coinvolto Revolut”.
Secondo il Pd, è urgente sapere: quando la casella sia stata compromessa, per quanto tempo sia rimasta nella disponibilità degli attaccanti, quante comunicazioni siano state inviate e ricevute in quel periodo e se richieste fraudolente di acquisizione di dati siano state rivolte anche ad altre banche, intermediari finanziari, piattaforme digitali, operatori di comunicazione o altri soggetti. Vanno inoltre accertate la natura e l’estensione della compromissione. “Nelle ultime ore sono circolate rivendicazioni secondo cui l’accesso abusivo avrebbe riguardato anche ulteriori strutture e sistemi delle forze dell’ordine italiane. Si tratta di affermazioni che non risultano al momento confermate e proprio per questo chiediamo al ministro di riferire se siano fondate e se vi siano stati accessi ad altre caselle, documenti, sistemi o banche”, dichiarano i senatori.
Sono le stesse preoccupazioni che rimbalzano nell’ambiente della cybersecurity nazionale. “Sarebbe gravissimo: la prefettura di Reggio Calabria ha documenti critici per l’antimafia e secondo i criminali nelle loro mani ci potrebbero essere dati anche di altri soggetti”, dice l’esperto cyber Pierluigi Paganini. “La dichiarazione dei criminali è credibile. È già successo che il cryber crime mettesse le mani su dati importanti delle nostre istituzioni”, aggiunge Alessio Pennasilico, esperto di sicurezza informatica presso P4I.
Le verifiche della Polizia postale
A quanto si apprende, la Polizia Postale ha sta indagando anche su questa pista dei dati trafugati – e non solo su quella della pec violata – ma al momento non è possibile verificare la veridicità di quanto affermano i criminali, i quali possono anche avere interesse economico o reputazionale a esagerare.
Tocca aspettare le prossime mosse degli attaccanti che, come capitato in altri casi, potrebbero pubblicare almeno parte del “tesoretto” di dati italiani. A quel punto si capirà quanto grosso è il danno.
Caso Revolut, conto alla rovescia per il riscatto dell’hacker. L’Agid: «Passeremo a Pec Q, più sicura»
Il caso Revolut è ora all’interno di una clessidra (l’hacker ha avviato un countdown e un riscatto), ma rimane il nodo sicurezza informatica e quello delle Pec violate. Chiara Giacomantonio, direttrice dell’Agenzia per l’Italia digitale: «Si lavora sulla nuova Pec Qualificata»
Roberto Cosentino
La richiesta di riscatto a Revolut da parte di iamnotthevillain scade nella giornata di oggi. Per oraè stato l’ultimo capitolo di quello che verrà ricordato come uno degli attacchi informatici più mediatici degli ultimi tempi,sia per i metodi sia per i soggetti colpiti, tra cui le Istituzioni italiane.
Uno dei motivi per cui non sarà difficile dimenticare quanto accaduto risiede nella gravità della violazione, che ha visto protagonista anche la casella di posta elettronica certificata riconducibile ad un ufficio della prefettura di Reggio Calabria.
Sul tema si è espressa anche Agid, cioè l’Agenzia per l’Italia digitale, l’agenzia pubblica italiana istituita sotto il governo Monti e che guida la trasformazione digitale della Pubblica Amministrazione e del Paese.
A Corriere LOGIN, la direttrice di Agid Chiara Giacomantonio, in merito alla violazione della Pec, ha affermato che «serve molta consapevolezza nell’utilizzo di tutti gli strumenti digitali e quindi anche della Pec». Un sistema che ricorda essere nato in Italia e che ora vede una prossima evoluzione: «Stiamo lavorando al passaggio verso la Pec Qualificata, la cosiddetta Pec Q, che prevede ulteriori elementi». Della Pec Q, va detto, si parla da anni ed è adeguata alle normative europee Eidas e dovrebbe introdurre maggiore sicurezza anche attraverso il recapito qualificato.
Agid: abbiamo notato un aumento delle compromissioni
Facendo un punto sulla situazione attuale, Agid riferisce a LOGIN che «negli ultimi mesi abbiamo rilevato un aumento della compromissione e dell’utilizzo delle Pec per fini non leciti». Attività che hanno spinto l’istituzione ad incrementare la sensibilizzazione nei confronti delle Pubbliche amministrazioni oltre a pubblicare periodicamente dei bollettini, con indicazioni e suggerimenti.
Agid, per via delle indagini in corso, ha preferito non commentare i dettagli tecnici della vicenda. Non è possibile sapere dunque se la violazione sia avvenuta in seguito ad un attacco mirato tramite phishing o se attraverso l’impiego di un malware. Secondo gli esperti informatici dovrebbe trattarsi di un infostealer, ovvero un software malevolo in grado di rubare informazioni sensibili e consegnarle agli attaccanti.
«Non esistono soltanto regole di comportamento specifiche per la Pec – sostiene la direttrice Giacomantonio – l’attenzione e la consapevolezza nell’utilizzo degli strumenti digitali devono riguardare tutti i cittadini e, a maggior ragione, chi lavora nella Pubblica amministrazione, perché ha a che fare con dati importanti e particolarmente delicati».
L’esperto: «Dipende anche dalla formazione»
Sulla stessa linea anche Matteo Cerretti, Head of Insurance di DWF Italy. «Il caso Revolut conferma che la sicurezza informatica non dipende solo dalla robustezza informatica dei sistemi, ma anche dalla capacità dell’organizzazione aziendale e del personale di saper riconoscere e gestire frodi sempre più sofisticate». A sostegno, anche i dati che Cerretti ricorda: «Secondo l’Operational Summary dell’Agenzia per la Cybersicurezza Nazionale relativo al 1° semestre 2026, nel periodo sono stati gestiti 2.171 eventi cyber, con un aumento del 47% rispetto al primo semestre 2025. Il dato può riflettere anche i nuovi obblighi di notifica introdotti da normative come il Regolamento (UE) 2022/2554 (“DORA”) e la Direttiva NIS II, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, ma conferma la centralità del rischio cyber». Un rischio che si traduce in «Phishing evoluto, ingegneria sociale, deepfake e compromissione di canali istituzionali». Scenari che «sono ormai prevedibili, da presidiare con procedure, controlli documentati, canali di escalation e formazione adeguata del personale».
La durata dell’accesso
L’accesso ai sistemi istituzionali, secondo quanto si apprende anche dagli hacker con cui siamo in contatto e che ci hanno mostrato evidenze in merito, sarebbe durato quasi sei mesi. Per quanto inquietante, è un dato che non è stato smentito da Agid, che afferma: «Il mondo digitale, compreso quello degli attaccanti informatici, è estremamente composito e sempre più sofisticato. Non sarebbe la prima volta che accade». In merito al caso Revolut, l’agenzia spiega comunque che «sono aspetti che dovranno essere chiariti dagli approfondimenti istruttori. Ci sono diverse amministrazioni e agenzie che stanno lavorando sul caso, ciascuna per la propria competenza, e spetterà a chi conduce le verifiche specifiche comprendere come sia stato possibile».
Quando siamo entrati in contatto con l’autore della violazione, egli ha risposto ad una domanda al Corriere, relativa all’adeguatezza delle misure di protezione da parte dei sistemi violati. Secondo Iamnotthevillain, tali misure andrebbero riviste. E a tal proposito, Agid risponde: «C’è bisogno di aggiornamenti? Sì, ma questo aggiornamento avviene continuamente – spiega la direttrice Giacomantonio – Le regole tecniche vengono aggiornate proprio per seguire l’evoluzione del mondo digitale». E ancora: «Le norme di sicurezza non sono mai statiche: sono in continua evoluzione, così come gli strumenti digitali e le minacce».
I dati e la privacy
Sin dalle prime fasi dell’incidente, l’hacker ha condiviso con LOGIN alcuni screenshot di email con informazioni molto sensibili, tra cui indagini ancora in corso e con nomi e cognomi di soggetti ancora sotto indagine. In totale l’hacker sostiene di essere in possesso di 147 GB di materiale, per un totale di 87mila file appartenenti alla Polizia. Un dato che si fatica a trascurare. Per ora l’attaccante ha richiesto un riscatto solo alla fintech britannica, ma i dati sottratti sono certamente rilevanti e le conseguenze di un’eventuale condivisione, vanno valutate caso per caso. Agid spiega: «Bisogna fare riferimento alle regole generali relative alle attività di polizia giudiziaria. Esistono fasi nelle quali deve essere mantenuto il segreto investigativo e altre nelle quali le informazioni possono essere rese note, anche a tutela della persona sottoposta a indagine».
Ma chi dovesse subire una violazione della privacy, vittima collaterale dell’azione contro Revolut? Anche in merito a questa delicata questione, Matteo Cerretti di Dwf aggiunge: «In un tale contesto, a prescindere dalla qualificazione giuridica della divulgazione alla stregua di un incidente informatico o meno, la possibilità per chi subisce le conseguenze di tali incidenti di ottenere un risarcimento dipende, in concreto, dalla verifica dell’adozione da parte dell’intermediario di misure tecniche, organizzative e procedurali adeguate rispetto allo scenario di rischio prevedibile, dovendosi, altresì, dimostrare che da un tale evento sia derivato, poi, un effettivo danno per la persona che sia stato coinvolto dalla divulgazione dei propri dati».
