L’inchiesta sulla violazione di Revolut si allarga e assume contorni sempre più delicati. La Procura della Repubblica di Reggio Calabria ha aperto un fascicolo sulla presunta intrusione nei sistemi della banca digitale britannica realizzata attraverso una casella di posta elettronica certificata riconducibile alla Prefettura reggina.
Ma a rendere ancora più rilevante la vicenda è la rivendicazione del gruppo hacker “IAmNotAVillain”, che sostiene di essere entrato in possesso anche di una grande quantità di informazioni interne delle forze dell’ordine italiane. Secondo quanto riferito dagli hacker al Financial Times, si tratterebbe di circa 147 gigabyte di dati.
Un’affermazione che dovrà ora essere verificata dagli investigatori e che si aggiunge alla sottrazione di informazioni relative a centinaia di clienti della fintech britannica.
L’inchiesta della Procura di Reggio Calabria
Il reato ipotizzato dagli inquirenti è quello previsto dall’articolo 615 ter, comma 3, del codice penale, relativo all’accesso abusivo a un sistema informatico o telematico di pubblico interesse.
La prima informativa della Polizia postale descrive una modalità d’azione particolarmente sofisticata. Gli investigatori stanno cercando di ricostruire in che modo sia stato possibile utilizzare una casella Pec istituzionale per presentarsi davanti a Revolut come rappresentanti delle forze dell’ordine.
Al momento non vi sarebbe certezza sul fatto che sia stato direttamente compromesso un computer della Prefettura di Reggio Calabria o del Viminale. Uno dei punti centrali dell’indagine è proprio stabilire se la casella di posta certificata sia stata effettivamente violata oppure se l’indirizzo istituzionale sia stato clonato o utilizzato abusivamente.
Gli hacker: “Abbiamo anche i dati della Polizia italiana”
È sul fronte della rivendicazione che emergono gli elementi più delicati della vicenda.
Il gruppo “IAmNotAVillain”, contattato dal Financial Times attraverso Telegram, ha sostenuto di aver compromesso un sistema di posta elettronica certificata riconducibile al ministero dell’Interno italiano e di aver utilizzato quella identità istituzionale per ottenere informazioni riservate da Revolut.
Ma gli hacker hanno fatto anche un’altra affermazione: quella di essere in possesso di circa 147 gigabyte di dati interni delle forze dell’ordine italiane.
Si tratta, allo stato attuale, di una rivendicazione proveniente dal gruppo che si attribuisce l’attacco e non di un quantitativo di dati la cui effettiva disponibilità sia stata già confermata dagli investigatori. Proprio per questo gli accertamenti dovranno stabilire se e quali informazioni siano realmente finite nelle mani dei cybercriminali.
680 clienti coinvolti in 33 Paesi
Secondo quanto ricostruito sul caso, le richieste rivolte a Revolut sarebbero proseguite per diversi mesi attraverso il sistema di posta elettronica certificata italiano.
Nel mirino sarebbero finiti 680 clienti distribuiti in 33 Paesi, prevalentemente europei. Il gruppo avrebbe chiesto alla banca digitale informazioni riservate relative a specifici correntisti, tra cui indirizzi, numeri di telefono e cronologie delle transazioni.
Gli hacker avrebbero sostenuto di essere rappresentanti delle forze dell’ordine e di avere bisogno di quelle informazioni nell’ambito di accertamenti in corso.
Secondo il racconto fornito al Financial Times, il primo contatto con Revolut sarebbe avvenuto circa due mesi prima, fingendosi un ente italiano delle forze dell’ordine. Gli scambi sarebbero poi proseguiti con ulteriori richieste di dati.
Il gruppo avrebbe inoltre fornito al quotidiano britannico alcuni screenshot di email che, secondo la loro versione, documenterebbero le comunicazioni intercorse con la banca.
La pista dei dati della Polizia e il dark web
È ora da verificare se la rivendicazione relativa ai 147 gigabyte di dati delle forze dell’ordine italiane corrisponda a un effettivo accesso a sistemi istituzionali e quale sia eventualmente la natura delle informazioni.
Gli investigatori stanno contestualmente monitorando il dark web per verificare se i dati sottratti ai clienti Revolut siano stati pubblicati o messi in vendita.
L’attenzione è quindi rivolta su due piani distinti: da una parte l’eventuale compromissione dell’account istituzionale utilizzato per ottenere informazioni dalla banca; dall’altra la possibile disponibilità di dati interni delle forze dell’ordine, circostanza che, se confermata, allargherebbe sensibilmente il perimetro della vicenda.
In campo anche la Dna e il Garante della Privacy
Sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo, intervenuta in considerazione del possibile coinvolgimento di un ente governativo.
Parallelamente, il Garante per la protezione dei dati personali ha predisposto una verifica sulle eventuali falle nei sistemi di sicurezza utilizzati dagli istituti bancari italiani, invitando i responsabili della protezione dei dati delle banche a effettuare controlli interni e a segnalare eventuali criticità.
L’Autorità ha inoltre avviato un confronto con l’autorità omologa lituana, Paese nel quale Revolut ha la propria sede legale principale, e ha chiesto al ministero dell’Interno ulteriori elementi per comprendere l’estensione della vicenda.
L’indagine ora punta a capire cosa sia realmente finito nelle mani degli hacker
La priorità degli investigatori è ricostruire la catena dell’attacco: come è stata utilizzata la Pec istituzionale, se sia stata violata o clonata, quali richieste siano state effettivamente inoltrate a Revolut e quali dati siano stati consegnati.
Resta poi da verificare la parte più delicata della rivendicazione: l’asserita disponibilità di 147 gigabyte di dati interni della Polizia italiana.
Se tale circostanza dovesse trovare conferma, gli accertamenti dovrebbero necessariamente chiarire quali sistemi siano stati compromessi, quali informazioni siano state sottratte e se i dati siano ancora nella disponibilità degli hacker oppure siano già stati trasferiti, pubblicati o messi in vendita.
Per ora, dunque, il dato sui 147 gigabyte resta una affermazione del gruppo “IAmNotAVillain”, mentre l’inchiesta della Procura di Reggio Calabria, della Polizia postale e della Dna è chiamata a stabilire la reale portata della violazione.
