Revolut, società britannica che offre servizi bancari gestibili interamente dallo smartphone, ha consegnato “spontaneamente” i dati personali e finanziari di circa 680 clienti, tra cui documenti d’identità, selfie di verifica, estratti conto e storico delle transazioni.
I malintenzionati non hanno sfruttato una falla informatica nei sistemi della fintech britannica o realizzato un intrusione abusiva potendo contare, invece, in una sofisticata operazione di impersonificazione di autorità.
Come è avvenuto l’attacco: il ruolo della PEC compromessa
L’operazione è stata condotta dal gruppo hacker noto con lo pseudonimo IAmNotAVillain, il quale si è infiltrato nella casella di Posta Elettronica Certificata (PEC) in uso a un ufficio del Ministero dell’Interno italiano e delle forze dell’ordine, verosimilmente attraverso un malware di tipo infostealer insediatosi sulle macchine dell’istituzione.
Successivamente, ottenuto il pieno controllo di una casella istituzionale autentica, sono state inoltrate a Revolut le richieste di informazioni, che hanno così superato i controlli di autenticazione automatica e sono state lavorate dagli operatori come normali adempimenti di legge legati alle indagini o all’antiriciclaggio.
I limiti della conformità burocratica e la lezione per la cybersecurity
Questo episodio, che non è il primo né sarà l’ultimo, fa comprendere come non possa esserci un affidamento cieco alla sola canalizzazione formale del mezzo di trasmissione.
La certificazione della PEC garantisce solo la provenienza dell’indirizzo ma, come dimostra questo caso, non l’identità effettiva di chi sta digitando dietro lo schermo.
Al fine di evitare che la conformità burocratica si trasformi in una trappola per le organizzazioni, è necessario integrare le procedure aziendali con protocolli di verifica rigorosi sulle richieste di ostensione dati ad alto impatto, evitando che l’adempimento cieco sfoci in pesanti data breach e violazioni della privacy.
