Il caso Revolut si allarga e porta direttamente in Italia. Dopo la scoperta del data breach che ha coinvolto centinaia di clienti, emergono nuove accuse secondo cui le richieste fraudolente utilizzate per ottenere i dati degli utenti sarebbero state inviate sfruttando sistemi informatici riconducibili alle forze dell’ordine italiane.
La notizia è stata rilanciata il 15 settembre da DDay.it, sulla base di informazioni raccolte da International Cyber Digest, che sostiene di essere entrato in contatto con gli autori dell’attacco. Secondo il gruppo che si presenta con il nome IAmNotAVillain, l’operazione sarebbe andata avanti per circa sei mesi e avrebbe sfruttato l’accesso a sistemi appartenenti a più reparti delle forze dell’ordine italiane.
Il condizionale, però, è d’obbligo: né le autorità italiane né Revolut hanno finora confermato questa ricostruzione. Le informazioni attribuite agli aggressori devono quindi essere considerate come accuse ancora da verificare.
La truffa che ha ingannato Revolut
Il punto di partenza dell’intera vicenda è ormai più chiaro. Revolut ha confermato di essere stata vittima di una sofisticata operazione di impersonificazione: una terza parte non autorizzata avrebbe utilizzato un indirizzo appartenente a un dominio governativo realmente esistente per inviare richieste di informazioni sui clienti.
La particolarità dell’attacco sta proprio qui. Non sarebbe stato necessario violare direttamente i server di Revolut. Gli aggressori avrebbero sfruttato la fiducia associata a un canale istituzionale apparentemente autentico, inducendo gli operatori della fintech a considerare le richieste come legittime. Reuters ha confermato che Revolut ha ricevuto richieste fraudolente apparentemente provenienti da un dominio governativo autentico.
Una volta scoperta la frode, Revolut ha bloccato l’indirizzo utilizzato e ha dichiarato di aver avvisato l’agenzia governativa interessata, le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari.
La società continua inoltre a sostenere che i propri sistemi non sono stati compromessi e che i fondi dei clienti non sono stati sottratti.
Quasi 700 clienti coinvolti
Secondo quanto riportato dal Financial Times, Revolut avrebbe contattato 680 clienti ritenuti coinvolti nell’operazione. Tra le informazioni finite nelle mani degli aggressori ci sarebbero dati anagrafici, indirizzi, numeri di telefono, documenti di identità, informazioni bancarie e dati relativi alle transazioni.
La documentazione potenzialmente esposta comprende, secondo le ricostruzioni pubblicate nelle ultime ore, anche IBAN, estratti conto, cronologia delle operazioni e attività in Bitcoin, oltre a documenti utilizzati per la verifica dell’identità.
Non risulta invece che siano state sottratte password o numeri delle carte attraverso un’intrusione nei sistemi di Revolut: il problema nasce dalla risposta della società a richieste che sembravano provenire da un’autorità legittima.
La nuova pista italiana
Secondo quanto riferito da International Cyber Digest, il gruppo IAmNotAVillain afferma di aver avuto accesso per circa sei mesi a sistemi informatici appartenenti a diversi reparti delle forze dell’ordine italiane. Gli stessi sistemi, sempre secondo il racconto degli aggressori, sarebbero stati utilizzati per inviare le richieste di informazioni a Revolut.
L’ipotesi sarebbe quindi quella di una catena di compromissione:
sistemi italiani compromessi → accesso a strumenti o caselle istituzionali → richieste apparentemente ufficiali → Revolut → consegna dei dati dei clienti.
È uno scenario molto più grave rispetto a una semplice truffa via e-mail, perché implicherebbe che gli aggressori siano riusciti a entrare in infrastrutture utilizzate da organismi pubblici italiani e a sfruttarne l’autorità digitale.
Ma proprio su questo punto è necessario mantenere la massima cautela. DDay sottolinea che le affermazioni degli aggressori non sono state finora confermate da fonti indipendenti né dalle autorità italiane.
I presunti 147 GB di dati
Gli autori dell’attacco sostengono inoltre di essere in possesso di circa 147 GB di materiale proveniente dalla parte italiana dell’operazione. Il materiale, secondo le loro dichiarazioni, comprenderebbe documenti interni, calendari e contenuti personali. Sarebbero presenti persino presunte conversazioni private di funzionari.
Anche in questo caso, tuttavia, si tratta di materiale e dichiarazioni attribuiti agli aggressori e non di una compromissione finora verificata pubblicamente. Alcune pubblicazioni specializzate hanno riportato la rivendicazione, specificando però che non è stata sottoposta a verifica indipendente.
Secondo diverse ricostruzioni, gli autori della violazione starebbero minacciando di pubblicare ulteriori informazioni sui clienti se Revolut non accetterà di pagare un riscatto. Una delle richieste riportate dalla stampa parla addirittura di 10.000 Bitcoin, una cifra enorme, nell’ordine di centinaia di milioni di dollari al valore corrente.
Sono inoltre comparsi online presunti campioni delle informazioni sottratte. Tra le persone coinvolte figurerebbero anche alcuni personaggi pubblici.
La strategia è quella ormai tipica della doppia pressione: prima ottenere i dati, poi dimostrare di possederne una parte e infine utilizzare la minaccia della pubblicazione per costringere la vittima a pagare.
Cosa resta da chiarire
Sono ancora numerosi gli interrogativi aperti.
Primo: quale organismo italiano sarebbe stato eventualmente compromesso?
Secondo: gli aggressori hanno realmente avuto accesso a sistemi delle forze dell’ordine italiane oppure hanno utilizzato un’altra infrastruttura per simulare una richiesta istituzionale?
Terzo: come sarebbe stato ottenuto l’accesso all’account o ai sistemi utilizzati per inviare le richieste a Revolut?
Quarto: i 147 GB di dati rivendicati dagli aggressori esistono realmente e, soprattutto, provengono effettivamente da infrastrutture italiane?
Infine, resta da stabilire con precisione quali dati siano stati sottratti, per quanto tempo e quanti clienti siano realmente coinvolti.
