Nei grandi incidenti informatici, la narrazione classica parla solitamente di attacchi zero-day, codici malevoli capaci di bucare firewall e di server forzati da hacker invisibili. Il caso che ha colpito la gigante britannica del fintech Revolut, tuttavia, racconta una storia completamente diversa e ben più inquietante: i sistemi della banca non sono stati violati, sono stati semplicemente tratti in inganno.

A far emergere i dettagli dell’operazione sono state le analisi dell’investigatore blockchain ZachXBT e i report pubblicati da fonti specializzate come International Cyber Digest e korraflow. La vicenda mette a nudo quanto la fiducia cieca nei canali di comunicazione formali e istituzionali possa trasformarsi nel perfetto cavallo di Troia per la cibercriminalità.

La dinamica: l’abuso dei canali giudiziari e la trappola della PEC italiana

Il raggiro non si è basato su complessi exploit software, ma su una raffinata operazione di ingegneria sociale ad alto livello, diretta verso i dipartimenti di compliance e legal di Revolut.

Tutto ha inizio con le cosiddette Law Enforcement Requests: le procedure di emergenza con cui le autorità giudiarie e le forze dell’ordine richiedono agli istituti finanziari di consegnare con urgenza dati, documenti e informazioni sui conti bancari di determinati soggetti sottoposti a indagine. Per compiere l’attacco, l’attore malevolo — noto nell’ambiente con lo pseudonimo IAmNotAVillain — è riuscito a prendere il controllo o a sfruttare l’infrastruttura di un indirizzo di Posta Elettronica Certificata (PEC) italiana riconducibile a enti governativi o forze dell’ordine.

Essendo la mail inviata da un dominio ufficiale provvisto di tutti i requisiti di autenticazione tecnici (SPF e DKIM validi) e garantita dal valore legale intrinseco della PEC, ha superato a pieni voti i controlli formali di Revolut. I funzionari della banca, credendo di rispondere a una richiesta formale di cooperazione giudiziaria proveniente dalle autorità italiane, hanno raccolto i file richiesti e li hanno trasmessi direttamente agli attaccanti, persino condividendo chiavi di cifratura sullo stesso canale e vanificando ogni misura di sicurezza aggiuntiva.

Il profilo delle vittime e il tesoro sottratto

Benché la portata complessiva dell’incidente sia rimasta numericamente circoscritta — e l’azienda abbia subito rassicurato che nessun fondo è stato sottratto né sono state compromesse le credenziali di accesso diretto alle app —, il bersaglio dell’operazione è stato tutt’altro che casuale.

L’attacco è stato chirurgico e orientato a figure ad alto patrimonio (High-Net-Worth Individuals), tra cui dirigenti d’azienda, sportivi e persino volti noti del settore cripto come Mark Karpelés, ex fondatore dello storico exchange Mt. Gox. I criminali sono riusciti a mettere le mani su un archivio che si stima superi i 147 GB di dati, contenente l’intero dossier KYC (Know Your Customer) delle vittime:

• Identità completa e biometria: Fotocopia dei passaporti e delle patenti, unita ai selfie ad alta risoluzione utilizzati dagli utenti durante le fasi di verifica dell’identità.
• Profili finanziari dettagliati: Estratti conto integrali, IBAN, cronologia di tutte le transazioni effettuate ed elenchi dei movimenti in criptovalute (con particolare dettaglio sui prelievi in Bitcoin).

I risvolti e il dibattito sui sistemi istituzionali

Le conseguenze dell’accaduto vanno ben oltre l’impatto immediato sulla singola azienda e toccano diversi piani critici:

1. Il rischio di attacchi di seconda generazione: Avere a disposizione simultaneamente i documenti biometrici originali e l’intero storico transazionale consente agli estorsori di mettere in piedi truffe di spear-phishing o furti d’identità estremamente credibili. I criminali possono contattare direttamente le vittime o gli istituti di credito simulando verifiche o avviando campagne di riscatto (gli attaccanti avrebbero infatti chiesto un riscatto in Bitcoin minacciando la diffusione dei dati).
2. I punti ciechi del sistema PEC: Il caso ha riaperto una pesante discussione sulla reale sicurezza e sui processi di rilascio delle caselle PEC in Italia. Sebbene la PEC fornisca la certezza dell’invio e dell’integrità del messaggio, come sottolineato dagli esperti del settore, non garantisce sempre una verifica preventiva sull’effettiva titolarità di chi la registra rispetto all’ente o al ruolo sbandierato, lasciando spazio a zone d’ombra in assenza di un controllo incrociato sui registri ufficiali (come l’IPA) o di un’autenticazione forte (SPID/CIE).
3. Pressione regolatoria e reputazionale per Revolut: Per Revolut, il cui modello si fonda proprio sull’efficienza della gestione dei dati e della sicurezza, il danno d’immagine è tangibile. Sotto la lente degli organi di vigilanza sulla privacy e delle autorità di regolamentazione c’è ora la revisione dei protocolli interni per la cessione di informazioni sensibili, a dimostrazione di come un semplice errore umano e procedurale possa neutralizzare le migliori barriere d’infrastruttura tecnologica.