Revolut ha trasmesso documenti d’identità, coordinate bancarie e transazioni a criminali informatici che si sono spacciati per un’autorità pubblica italiana. L’incidente, confermato dalla fintech britannica il 12 settembre, è passato attraverso la Pec di un’amministrazione italiana. Non c’è stata un’intrusione nei sistemi dell’azienda: la richiesta ha superato i controlli di autenticazione ed è stata trattata come un normale adempimento di legge.
La società ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna», parlando di un numero «molto limitato» di persone coinvolte.
Revolut, i dati per gli hacker arrivano tramite una Pec italiana
Il meccanismo è quello dell’impersonificazione di autorità: una richiesta di informazioni formalmente identica a quelle che gli istituti finanziari ricevono da procure e forze di polizia, ma inviata da criminali. A rendere efficace l’inganno è stato il canale utilizzato.
La posta elettronica certificata attribuisce valore legale alla trasmissione: certifica l’indirizzo di partenza, l’avvenuta consegna e il momento in cui questa si verifica. Viene usata per le comunicazioni giudiziarie e una richiesta proveniente da una casella istituzionale viene quindi considerata attendibile senza ulteriori controlli.
Il consulente informatico forense Paolo del Checco ha illustrato sui social l’ipotesi di un attaccante insediato nella casella dell’istituzione italiana attraverso un programma capace di infettare un computer e sottrarre informazioni. Gli aggressori non avrebbero falsificato il messaggio: avrebbero preso il controllo di una Pec autentica. Le richieste sono così partite davvero dall’indirizzo di un ufficio pubblico, con certificazioni regolari che i controlli automatici non potevano distinguere da quelle legittime.
Revolut è la maggiore fintech europea, con oltre 80 milioni di clienti, dei quali 5 milioni italiani secondo i dati dello scorso maggio pubblicati da Milano Finanza. Il Financial Times, citando persone a conoscenza dell’indagine interna, ha riferito che i clienti contattati sarebbero circa 680: la società non ha confermato pubblicamente la cifra. L’Information Commissioner’s Office, autorità britannica per la protezione dei dati, ha annunciato il 15 settembre un’indagine, dopo l’autosegnalazione della fintech alcuni giorni prima.
I documenti consegnati e i clienti coinvolti
I dati dei clienti trasmessi comprendono il materiale raccolto all’apertura del conto e conservato per gli obblighi antiriciclaggio. Secondo il Financial Times e Reuters, e sulla base dei documenti pubblicati dagli attaccanti, figurano informazioni anagrafiche e professionali, indirizzi di residenza, numeri telefonici ed e-mail.
L’elenco comprende anche copie di passaporti e patenti, fotografie inviate per la verifica facciale durante la registrazione, Iban e altre coordinate bancarie, estratti conto, storico dei prelievi e cronologia delle transazioni, incluse quelle in Bitcoin.
Tra le persone coinvolte ci sono il tennista Schevcenko e Mark Robert Karpelès, imprenditore francese ed ex amministratore delegato della piattaforma di scambio di bitcoin Mt. Go. Karpelès ha ricevuto la notifica di Revolut alle 5.25 del 12 settembre: inizialmente l’ha scambiata per un altro tentativo di truffa.
Anche Marc Zeller, nome noto del settore, ha comunicato su X di essere tra gli interessati dalla violazione, indicando documenti d’identità, Iban, estratto conto e storico delle operazioni.
Il Financial Times ha riferito inoltre che gli aggressori minacciano di pubblicare le informazioni sottratte se Revolut non pagherà un riscatto. Questo aspetto rimane poco chiaro: nelle proprie dichiarazioni il gruppo presenta l’azione soprattutto come una denuncia della gestione della piattaforma e delle modalità di raccolta e trasmissione dei dati.
Le rivendicazioni del gruppo e i presunti archivi italiani
Il gruppo, che usa lo pseudonimo iamnotavillain, sostiene di essere rimasto a lungo nei sistemi delle forze dell’ordine italiane. Questa parte della vicenda si basa sulle dichiarazioni degli attaccanti e richiede cautela: «Abbiamo registrato oltre 87 mila file, per un valore di 147 GB di documenti, e-mail, file personali».
Gli aggressori non hanno identificato le strutture interessate: «Non possiamo rivelare quale dipartimento sia stato violato per arrivare a Revolut, ma possiamo dire che nell’attacco in Italia sono stati coinvolti molti dipartimenti».
Il gruppo sostiene inoltre di conoscere persone entrate facilmente nelle caselle delle forze dell’ordine italiane e afferma che ciascuna casella attiva può contenere decine di gigabyte di messaggi e allegati, chiedendo una revisione delle difese informatiche. L’account di intelligence informale International Cyber Digest ha riferito che l’operazione sarebbe durata circa sei mesi, coinvolgendo più sistemi.
Tra i campioni mostrati dagli attaccanti figurano migliaia di messaggi in formato .eml. Le denominazioni richiamano comunicazioni giudiziarie italiane: compaiono le sigle RGPM-NT e RGGIP-NT, numeri e anni dei procedimenti, riferimenti a pubblici ministeri, procedimenti penali e al «mod. 44», il registro delle notizie di reato contro ignoti.
La struttura dei codici corrisponde a quella utilizzata dagli uffici giudiziari italiani nella documentazione pubblicamente disponibile. Altri campioni contengono indirizzi di domini istituzionali della Polizia di Stato e dell’amministrazione giudiziaria; diversi recapiti corrispondono a quelli pubblicati dalle amministrazioni.
Le contestazioni sulle verifiche d’identità e l’interrogazione
Sul proprio sito il gruppo sostiene che Revolut abbia ignorato una segnalazione su un archivio di utenti e presenta l’attacco come una risposta alla mancata protezione delle informazioni e al loro invio da una diversa giurisdizione.
Gli aggressori contestano anche le verifiche d’identità KYC, acronimo dell’espressione «conosci il tuo cliente»: sono i controlli obbligatori attraverso i quali una banca identifica l’utente, per esempio chiedendo un documento o un autoritratto fotografico. Il gruppo definisce ingiuste queste regole e sostiene che i trasferimenti oltre giurisdizione costituiscano una violazione delle norme internazionali sui dati.
L’accusa non trova riscontro nell’informativa di Revolut per i clienti svizzeri. Questa consente la condivisione con autorità governative e forze dell’ordine per obblighi legali, indagini o antifrode, contemplando trasferimenti fuori dalla Svizzera e dallo Spazio economico europeo per ragioni legali e normative.
Nel presunto materiale attribuito alla società compare però una comunicazione di autenticità non confermata: Revolut avrebbe chiesto di distruggere i documenti relativi a quattro clienti, perché i conti erano soggetti a un’altra giurisdizione e il segreto bancario ne avrebbe impedito la trasmissione.
La deputata di Azione Giulia Pastorella ha chiesto quante altre e-mail siano partite dalla Pec governativa e quante aziende siano state ingannate: «Se le notizie dovessero essere confermate, nessuno dei nostri dati potrebbe dirsi al sicuro. Il Ministero deve immediatamente chiarire quanto accaduto. Porterò il caso in Parlamento con un’interrogazione urgente».