Il giallo della PEC italiana usata per rubare i dati a Revolut. L’esperto Dal Checco: “Procedure da rivedere”

Sabato 12 settembre, Revolut ha ammesso di essere stata vittima di un importante furto di dati. A causare la violazione, però, non è stato un attacco informatico diretto. Sono stati gli stessi sistemi della fintech britannica a consegnare le informazioni a un soggetto non autorizzato, ingannati da una mail che sembrava provenire da un'agenzia governativa verificata. Un caso di phishing da manuale, ma in queste ore stanno emergendo nuovi aggiornamenti che rendono il caso ancora più interessante. I soggetti che affermano di essere in possesso dei dati hanno infatti iniziato a pubblicare alcuni dossier su Telegram, minacciando ulteriori rivelazioni qualora Revolut continuasse a rifiutarsi di pagare il riscatto richiesto. Non solo. Secondo quanto riportato dal ricercatore blockchain ZachXBT, tra i primi a raccontare con dovizia di particolari la violazione, l'indirizzo mail usato dai cybercriminali per compiere il raggiro sarebbe una PEC italiana. Un elemento che, se verificato, apre nuovi interrogativi sulla dinamica dell'attacco e sull'effettiva affidabilità dei controlli utilizzati per verificare l'identità del mittente da parte dei fornitori del servizio nel nostro Paese.

Cosa è successo: la truffa e il furto di dati

Per ben comprendere la vicenda è necessario ricostruire dall'inizio quanto accaduto. Secondo la ricostruzione offerta da Revolut, i truffatori avrebbero inviato una richiesta fraudolenta da un dominio email legittimamente riconducibile a un'agenzia governativa.  Superati i controlli di autenticazione, la comunicazione è stata ritenuta autentica e l'azienda ha quindi trasmesso i dati richiesti. Solo in un secondo momento, verificando la comunicazione attraverso altri canali, la società ha scoperto che nessun funzionario dell'agenzia aveva mai inviato quella richiesta.

I dati esposti sembrano riguardare nomi dei clienti, date di nascita, indirizzi, numeri di telefono, documenti d'identità, selfie utilizzati per la verifica, e i numeri degli estratti conto. Alcune comunicazioni rese pubbliche in un secondo momento citano anche codici IBAN e gli storici delle operazioni, incluse le transazioni in Bitcoin. Revolut ha però precisato che password, codici di accesso e dati necessari per accedere ai conti non sembrano essere stati coinvolti e al momento non risultano movimenti di denaro riconducibili alla violazione. Le informazioni trafugate potrebbero comunque essere utilizzate per nuove campagne di phishing o attacchi mirati ai clienti coinvolti.

Secondo quanto analizzato da ZachXBT, il clamoroso inganno riguarderebbe un ristretto gruppo di clienti facoltosi: sportivi, dirigenti d'azienda e imprenditori. Tra questi viene citato in particolare Mark Karpelés, ex responsabile della piattaforma di scambi cripto Mt. Gox, il quale ha riferito della presenza tra i materiali diffusi di un file da circa 60 MB. Secondo la sua ricostruzione, il messaggio sarebbe transitato attraverso una Posta Elettronica Certificata italiana, ossia un canale comunicativo verificato attraverso il quale le comunicazioni effettuate hanno un valore legale.

Revolut e PEC italiana: cosa sappiamo

Per analizzare la questione Fanpage.it si è rivolta al commento esperto di Paolo Dal Checco, perito informatico forense. "Non è ancora del tutto chiaro se l'attacco sia nato interamente da questo episodio o se esistesse già una falla precedente. Tuttavia, se la dinamica fosse confermata, significherebbe che la piattaforma è stata tratta in inganno proprio a causa di una PEC proveniente dal nostro Paese", spiega Dal Checco.

In particolare, sul caso sembrano pesare diversi punti critici circa i meccanismi che avrebbero dovuto scongiurare simili rischi per la sicurezza. Il primo – che però è ancora da confermare – riguarda la cifratura dell'allegato e le modalità di invio delle credenziali. Se infatti la password per aprire il file fosse stata inviata tramite una seconda PEC, la protezione avrebbe avuto un'efficacia molto limitata. "Mandare un file cifrato e poi inviare la chiave di sblocco sullo stesso identico canale vanifica totalmente la protezione. È una procedura spesso utilizzata anche dalle istituzioni, ma è completamente da rivedere", spiega l'esperto.

Il secondo, riguarda ovviamente la possibilità che sia stata usata una PEC per compiere la frode. Com'è stato possibile utilizzare in questo modo un sistema certificato? Secondo Dal Checco esistono almeno due scenari: la compromissione di una vera casella istituzionale, oppure l'utilizzo di un dominio ingannevole, attraverso tecniche come il typosquatting per creare nomi molto simili all'originale. In quest'ultimo caso, l'apparenza di un indirizzo PEC ufficiale può effettivamente trarre facilmente in inganno. "Molti controlli al momento della registrazione non verificano l'effettiva aderenza tra il richiedente e l'ente rappresentato", afferma l'esperto.

I dubbi sulla sicurezza della PEC

Al di là del caso Revolut, la vicenda apre dunque a nuove riflessioni sull'effettiva efficienza dei controlli di sicurezza per un sistema che viene usato da istituzioni, professionisti e privati cittadini per tutte le comunicazioni più importanti. "Il paradosso storico della PEC è sempre stato questo: si può registrare una casella con un nome del tutto arbitrario senza che il gestore blocchi l'operazione in mancanza di un titolo reale", sottolinea Dal Checco. "Se il destinatario non effettua un controllo incrociato sui registri ufficiali  – come l'IPA per la Pubblica Amministrazione o l'INI-PEC per le imprese – rischia di scambiare un indirizzo truffaldino per un canale ufficiale".

Nell'ambito di adeguamento alle normative europee però, forse il problema potrebbe aver già trovato una soluzione. "L'introduzione della verifica dell'identità forte – tramite SPID, CIE o riconoscimento biometrico – associa in modo certo la casella al codice fiscale del titolare", conclude il perito. "È un passo avanti fondamentale per legare la firma e l'invio a un soggetto reale, evitando che l'apparenza del mezzo sostituisca la reale verifica dell'interlocutore".