La Nuova Sardegna

Una sofisticata operazione di impersonificazione ha colpito la nota fintech britannica Revolut, che ha inconsapevolmente consegnato i dati personali e bancari di centinaia di clienti a un gruppo di cybercriminali. A trarre in inganno i sistemi di controllo dell'azienda è stata una richiesta apparentemente ufficiale inviata tramite una Posta Elettronica Certificata (PEC) istituzionale italiana compromessa, riconducibile secondo le prime indiscrezioni a un'agenzia governativa o alle forze dell'ordine.

La Polizia Postale italiana ha già avviato un'indagine d'urgenza per fare luce sull'accaduto.

La dinamica del raggiro: nessun attacco informatico diretto

A differenza dei tradizionali attacchi hacker, l'infrastruttura tecnologica di Revolut non è stata violata. Si è trattato invece di una truffa basata sull'ingegneria sociale e sull'abuso di canali di comunicazione ritenuti sicuri. I cybercriminali sono riusciti ad accedere e a prendere il controllo di una PEC appartenente a un'istituzione italiana. Sfruttando l'autorevolezza del dominio istituzionale, gli hacker hanno inviato alla sede lituana di Revolut una formale richiesta di accesso ai dati per presunte finalità investigative.

Poiché la mail proveniva da un indirizzo legittimo e certificato, ha superato tutti i controlli di autenticazione standard. I dipendenti della fintech, ritenendo di rispondere a una legittima autorità giudiziaria o governativa, hanno così evaso la richiesta fornendo i tabulati e i documenti d'identità dei clienti. I dubbi sono sorti solo successivamente, quando i truffatori hanno inoltrato ulteriori richieste di informazioni, spingendo Revolut a contattare direttamente l'istituzione italiana per verifiche, scoprendo così il raggiro.

Clienti coinvolti e tipologia di dati esposti

Secondo le prime ricostruzioni e quanto riportato da testate finanziarie internazionali, i clienti direttamente coinvolti sarebbero circa 680-700, in massima parte residenti in Svizzera e in Francia. Tra le vittime figurano anche nomi noti del settore delle criptovalute, come Mark Zeller e Mark Karpeles, che hanno confermato pubblicamente la fuga di notizie.

I dati sottratti includono documenti di identità dei clienti

Dati anagrafici e informazioni di contattoInformazioni e dettagli sui conti bancari. Revolut ha rassicurato gli utenti affermando che i fondi depositati sui conti sono assolutamente sicuri e che non è stato sottratto denaro. L'azienda ha già provveduto a informare singolarmente tutti i soggetti interessati dalla violazione dei dati.

Le indagini e i rischi normativiIl caso è adesso al centro di un delicato intreccio investigativo e normativo. In Italia, la Polizia Postale sta lavorando per capire come gli hacker siano riusciti a violare la PEC della prefettura o del ministero coinvolto, un'operazione che secondo fonti indipendenti di intelligence informatica potrebbe essere durate diversi mesi coinvolgendo più sistemi.

Nel frattempo, Revolut rischia pesanti ripercussioni legali. La fintech, che conta oltre 80 milioni di clienti a livello globale, è ora sotto la lente di ingrandimento dell'Information Commissioner's Office (ICO), l'autorità garante per la privacy del Regno Unito, e delle autorità europee. L'accusa implicita riguarda la severità e l'efficacia delle procedure di verifica interna (due diligence) adottate dall'azienda prima di condividere dati altamente sensibili con soggetti esterni, seppur protetti da canali formali come la PEC.