Sul recente caso che ha coinvolto Revolut e una casella PEC istituzionale italiana si stanno già leggendo molti commenti, alcuni forse un po’ affrettati.
Da quanto emerge, sembrerebbe trattarsi dell’ennesimo episodio di social engineering particolarmente sofisticato, realizzato sfruttando una casella PEC istituzionale effettivamente esistente e apparentemente legittima, riconducibile a una Prefettura.
Se tale ricostruzione dovesse essere confermata, non ci troveremmo di fronte a una vulnerabilità del sistema PEC, né a una compromissione dell’infrastruttura tecnologica che ne garantisce il funzionamento.
Il nodo centrale: la confusione tra invio e autenticità
Più probabilmente, qualcuno è semplicemente riuscito ad acquisire il controllo di una casella legittima, verosimilmente sfruttando le debolezze organizzative o credenziali di accesso, per poi operare indisturbato e presentarsi come interlocutore istituzionale affidabile.
L’accesso all’account PEC di natura istituzionale, secondo quanto si apprende, sarebbe durato quasi sei mesi.
Ed è proprio qui il nodo della questione. La banca avrebbe ricevuto comunicazioni provenienti da un indirizzo reale e formalmente riconducibile a un’amministrazione pubblica.
In altre parole, l’affidabilità dello strumento è stata utilizzata dagli attaccanti come leva per rendere credibile l’inganno.
È bene ricordare che la PEC è stata progettata per certificare l’invio e la ricezione dei messaggi, attribuendo certezza giuridica alla trasmissione e alla consegna della comunicazione.
Proprio per questo rappresenta da anni uno degli strumenti più robusti e affidabili dell’ecosistema digitale italiano, soprattutto quando utilizzato nell’ambito dei domicili digitali e delle comunicazioni istituzionali.
Diverso, però, è il tema dell’autenticità del contenuto del messaggio o dell’identità sostanziale di chi lo ha materialmente predisposto.
La lezione da imparare: la crisi della fiducia digitale
La PEC, infatti, non nasce per svolgere le funzioni tipiche degli strumenti di firma elettronica qualificata o dei sistemi di protocollazione amministrativa, che rispondono a esigenze differenti e complementari.
Il vero insegnamento che emerge da questa vicenda non riguarda dunque la fragilità della PEC, bensì la crescente capacità degli attaccanti di sfruttare la fiducia riposta negli strumenti digitali legittimi.
I rischi di quando si prende il controllo di un canale istituzionale
Ed è proprio questo l’aspetto più preoccupante: se si riesce a prendere il controllo di un canale istituzionale affidabile, i danni potenziali possono diventare enormi, perché l’attacco non colpisce soltanto i dati, ma anche la fiducia che sorregge i rapporti digitali tra cittadini, imprese e pubbliche amministrazioni, che dovrebbero comunque sorreggersi non solo su un controllo fiduciario di natura tecnologica, ma anche su attente verifiche documentali e accurate analisi del contesto.
Peraltro, mentre si discute di questo episodio, la PEC sta vivendo una fase di significativa evoluzione verso i servizi elettronici di recapito certificato qualificato previsti dal regolamento eIDAS, con l’obiettivo di garantire livelli sempre maggiori di interoperabilità e affidabilità nelle comunicazioni digitali a livello europeo.
Ma questa, come si suol dire, è un’altra storia.
