"Revolut hackerata". L'abbiamo letto ovunque, o quasi, ripetuto da una testata all'altra con la stessa sicurezza. Peccato che non sia andata così. Nessuno ha bucato i sistemi della banca: i dati sono usciti perché qualcuno ha scritto a Revolut da una casella PEC dello Stato e Revolut ha risposto. Se c'è un sistema violato in questa storia, non sta a Londra, sta in una Prefettura italiana. Ed è da qui che conviene partire, perché sbagliare la diagnosi significa sbagliare anche la cura.

Cosa è successo

Revolut ha dichiarato che la propria infrastruttura e i fondi dei clienti non sono stati toccati. Nessuno ha forzato i sistemi della banca.

Gli attaccanti hanno invece inviato richieste di dati presentandosi come Polizia Postale. Le richieste partivano da una casella PEC reale della Prefettura di Reggio Calabria, entilocali[.][email protected] e sono state distribuite nell'arco di circa sei mesi. La banca le ha ritenute autentiche e ha consegnato i dati di 680 clienti:

• documenti d'identità;
• selfie di verifica;
• IBAN;
• storico delle transazioni, incluse le operazioni in bitcoin.

Il gruppo di cyber attaccanti che rivendica l'operazione, "I Am Not A Villain", ha chiesto un riscatto di 3 milioni di dollari. Sostiene inoltre di possedere 147 GB di dati, tra cui documenti interni e chat di agenti di istituzioni italiane. Su questo punto sono in corso verifiche.

Sul fronte delle indagini e delle autorità:

• La Procura di Reggio Calabria ha aperto un'inchiesta per accesso abusivo a un sistema informatico di interesse pubblico.
• La Procura nazionale antimafia e antiterrorismo segue il caso.
• Il Garante per la protezione dei dati personali ha chiesto ai DPO delle banche italiane di verificare con urgenza i propri sistemi. Si è inoltre coordinato con l'autorità lituana, competente per Revolut, e con il Ministero dell'Interno.

Il primo anello: la casella istituzionale

Nel circuito PEC un mittente non si "clona" (o almeno è molto molto complesso). La busta di trasporto è firmata dal gestore e lo scambio avviene solo tra gestori accreditati. Se i messaggi sono partiti da un indirizzo @pec.interno.it qualcuno, molto probabilmente, ha avuto accesso a una casella reale.

Come sia avvenuto lo stabiliranno gli investigatori. Resta aperto, ad esempio, se la casella fosse protetta da autenticazione a due fattori. Il dato di fondo però è chiaro: il punto di ingresso è stato un'utenza istituzionale.

Questo porta allo scoperto un equivoco diffuso. La PEC certifica l'invio, la consegna e l'integrità del messaggio. Non certifica chi sta usando la casella, né la legittimità di ciò che viene chiesto. Proprio perché è percepita come inattaccabile, una casella PEC compromessa diventa lo strumento d'inganno più credibile che esista.

Il secondo anello: chi riceve la richiesta

Revolut non è stata violata, ma la verifica delle richieste ha mostrato dei limiti. I segnali d'allarme c'erano:

• una richiesta per un'indagine della Procura di Milano partita da una casella di Reggio Calabria;
• numeri di protocollo incoerenti;
• comunicazioni attribuite alla Polizia Postale ma non inviate dalla sua PEC;
• l'assenza del decreto dell'autorità giudiziaria.

Il GDPR chiede al titolare del trattamento misure tecniche e organizzative adeguate al rischio. Documenti d'identità e storici finanziari completi non possono essere consegnati sulla sola base del canale di provenienza, per quanto certificato. Una verifica fuori banda, cioè un contatto con l'ufficio richiedente tramite un recapito ufficiale reperito autonomamente, avrebbe con buona probabilità interrotto la catena.

Cosa possono fare le aziende, da oggi

Il caso riguarda chiunque riceva richieste di dati da autorità pubbliche: banche, operatori telefonici, piattaforme digitali, ma anche PMI e studi professionali.

1. Non evadere richieste di dati personali sulla sola base del canale, PEC inclusa.
2. Verificare fuori banda, usando recapiti ufficiali reperiti in autonomia e non quelli indicati nella richiesta.
3. Controllare la coerenza formale tra ufficio mittente, autorità procedente, numeri di protocollo e provvedimento allegato.
4. Adottare una procedura scritta con un responsabile designato e il coinvolgimento del DPO.
5. Applicare la minimizzazione: consegnare solo ciò che è necessario e giuridicamente fondato.
6. Per le PA: proteggere le caselle istituzionali con autenticazione forte e monitorare accessi e invii anomali.

L'insegnamento

Questa vicenda non ha bisogno di colpevoli da additare, ma di una lezione da trattenere: la fiducia in un canale non sostituisce mai la verifica di una richiesta.

La sicurezza dei dati è una catena in cui ogni anello deve reggere da solo, senza dare per scontata la solidità degli altri. Chi gestisce una casella istituzionale deve proteggerla come un bene pubblico. Chi riceve una richiesta deve verificarla anche quando arriva dal mittente più autorevole possibile.

Quando ciascuno custodisce il proprio anello, anche la compromissione di uno solo non basta a spezzare la catena.