Caso Revolut

Circa 680 clienti coinvolti, documenti personali e informazioni finanziarie finite nelle mani dei criminali e una richiesta di riscatto da 3 milioni di dollari.

Il caso che ha travolto Revolut offre un esempio particolarmente significativo di come si stanno evolvengo gli attacchi informatici.

Questa volta, infatti, i cybercriminali non hanno violato direttamente i sistemi della banca digitale, ma hanno utilizzato una comunicazione proveniente da un dominio istituzionale italiano, presentandosi come autorità e inoltrando richieste di informazioni sui clienti. Richieste che sono state interpretate come legittime da Revolut, che ha quindi fornito tali informazioni, credendo di rispondere a comunicazioni ufficiali.

Cosa è successo

Secondo le ricostruzioni disponibili, le richieste fraudolente sarebbero arrivate utilizzando una casella riconducibile a un dominio istituzionale italiano, cioè quello di una pec della prefettura di Reggio Calabria. Le comunicazioni apparivano quindi tecnicamente attendibili e sarebbero state gestite come richieste provenienti dalle autorità.
Questa truffa sarebbe proseguita per diversi mesi prima di essere individuata.

Secondo le ricostruzioni giornalistiche, alcuni elementi avrebbero potuto destare sospetti, tra cui la provenienza delle richieste e l'assenza della documentazione normalmente associata a determinate richieste di dati.

Il risultato?
Secondo quanto riportato dalla stampa, sono stati coinvolti circa 680 clienti. Tra le informazioni potenzialmente esposte figurano:

• dati anagrafici e di contatto;
• documenti d'identità;
• indirizzi;
• informazioni relative agli account;
• cronologie delle transazioni;
• informazioni relative alle operazioni in criptovalute.

Mentre, invece, secondo quanto dichiarato dalla società, i sistemi di Revolut e i fondi dei clienti non sono stati compromessi.

Gli hacker chiedono un riscatto da 3 milioni di dollari

La vicenda ieri ha avuto un'ulteriore evoluzione. Difatti, il gruppo che si presenta con il nome IAmNotAVillain ha rivendicato l'operazione e avrebbe avanzato una richiesta di 3 milioni di dollari in Monero (una cryptovaluta) a Revolut, minacciando la diffusione dei dati sottratti.

Lo stesso gruppo sostiene inoltre di essere entrato in possesso di 147 GB di dati riconducibili alle forze dell'ordine italiane.
Quest'ultima informazione resta però una rivendicazione degli aggressori e non un fatto definitivamente accertato dalle autorità.

La Polizia Postale indaga

Sul caso sono in corso verifiche da parte delle autorità italiane, tra cui la Procura della Repubblica di Reggio Calabria, che ha aperto un'inchiesta e avviagto gli accertamenti necessari per comprendere esattamente quale infrastruttura sia stata compromessa e con quali modalità.

Uno degli aspetti ancora da chiarire è se l'accesso fraudolento abbia effettivamente interessato sistemi riconducibili a strutture della Pubblica Amministrazione o se siano state utilizzate altre modalità per rendere credibili le comunicazioni.

Sul caso sono intervenuti anche gli organismi competenti in materia di sicurezza informatica e protezione dei dati personali.

La lezione più importante: sembrare autentico non significa esserlo

È probabilmente questo l'aspetto più interessante del caso Revolut.
Siamo abituati ad associare il phishing a un'e-mail scritta male, a un dominio palesemente falso oppure a un link sospetto. Tuttavia, gli attacchi moderni possono essere molto diversi.

In questo caso, l'autorevolezza del canale utilizzato avrebbe contribuito a rendere credibile la richiesta.

Ed è una dinamica che può interessare qualsiasi azienda.

Pensiamo a una PEC apparentemente inviata da:

🏛️ un ente pubblico;
🏦 una banca;
⚖️ un professionista;
💼 un cliente importante;
📦 un fornitore abituale.

Se il canale sembra autentico, siamo naturalmente portati a fidarci.
Ma quando la richiesta riguarda dati sensibili, pagamenti, credenziali o informazioni riservate, l'autenticità apparente del messaggio non dovrebbe essere l'unico controllo.

Come può proteggersi un'azienda?

E' necessario applicare un principio in realtà molto semplice: una richiesta critica dovrebbe essere verificata anche attraverso un secondo canale indipendente.

Se un'e-mail o una PEC richiede di comunicare informazioni riservate, effettuare un pagamento, modificare un IBAN o fornire credenziali, può essere opportuno effettuare una verifica aggiuntiva.
Ad esempio, contattando direttamente l'organizzazione utilizzando un numero di telefono già conosciuto, anziché quello eventualmente indicato nella comunicazione ricevuta.

Lo stesso principio può essere applicato anche internamente all'azienda, introducendo procedure specifiche per:

✓ richieste di pagamento;
✓ variazioni degli IBAN dei fornitori;
✓ comunicazione di dati personali;
✓ richieste provenienti da enti e autorità;
✓ modifica delle credenziali;
✓ accesso a informazioni aziendali riservate.

La cybersecurity non è soltanto tecnologia

Firewall, antivirus, sistemi EDR, autenticazione multifattore e monitoraggio della rete rimangono fondamentali. Tuttavia il caso Revolut evidenzia ancora una volta un principio essenziale: la sicurezza informatica è fatta di tecnologia, persone e procedure.

Un hacker non deve necessariamente riuscire a superare un firewall: potrebbe essere sufficiente convincere una persona autorizzata a fornire un'informazione o ad autorizzare un'operazione.

Per questo la formazione delle persone, la verifica delle procedure interne e la definizione di regole chiare per la gestione delle richieste sensibili sono componenti fondamentali di una strategia di cybersecurity moderna.

Quanto è preparata la tua azienda?

La domanda non è soltanto: “I nostri sistemi sono protetti?”
È anche: “Sapremmo riconoscere una richiesta fraudolenta se arrivasse da un canale apparentemente affidabile?” Gli attacchi informatici stanno diventando sempre più sofisticati e credibili: proteggersi significa non soltanto installare strumenti di sicurezza, ma comprendere:

✓ dove si trovano i dati;
✓ chi può accedervi;
✓ come vengono autorizzate le operazioni;
✓ quali procedure vengono seguite quando arriva una richiesta anomala;
✓ quali controlli vengono effettuati prima di condividere informazioni sensibili.

GestAPP supporta le aziende nell'analisi della propria infrastruttura e nell'individuazione delle misure tecnologiche e organizzative necessarie per aumentarne il livello di sicurezza. E con il bando Voucher Cloud & Cybersecurity, per il quale GestAPP è fornitore accreditato MIMIT, puoi farlo risparmiando il 50%! Clicca qui per maggiori informazioni.