Una truffa che ha dell'incredibile: prima è stata violata una mail della Prefettura di Reggio Calabria o del Viminale, poi sono stati recuperati dati di circa 700 correntisti della banca digitale inglese Revolut e, emerge ora, tra le informazioni sensibili trafugate ci sarebbero anche migliaia di documenti delle forze dell'ordine italiane. A rivendicarlo è stato il gruppo "IAmNotAVillain", che ha parlato con il Financial Times tramite Telegram: gli hacker sostengono di possedere 147 gigabyte di dati, inclusi documenti interni e chat di agenti delle forze dell'ordine italiane.
I cybercriminali sono riusciti a farsi consegnare dati sensibili, come codici di passaporto, carte d'identità, conti bancari, operazioni con i Bitcoin, di almeno 680 correntisti sparsi per il mondo, servendosi della mail istituzionale della Prefettura. Il timore degli investigatori è che ora le informazioni vengano messe in vendita nel dark web. Il gruppo avrebbe infatti chiesto a Revolut un riscatto di 3 milioni di dollari da pagare entro 24 ore in criptovalute. In caso contrario «i dati saranno venduti e il sangue sarà sulle vostre mani», è la minaccia.
Il raggiro
Al quotidiano londinese gli hacker hanno spiegato di essere riusciti a "bucare" «un ente delle forze dell'ordine» italiane. Poi, sfruttando le credenziali trafugate, hanno contattato Revolut, che «ha collaborato come un bravo ragazzo», hanno detto i cybercriminali. Il piano è raffinato: il raggiro è durato circa sei mesi. Gli hacker avrebbero presentato richieste, firmate «polizia postale» e inviate da un dominio «interno.it». Il gruppo ha anche condiviso alcuni screenshot con immagini delle mail scambiate, con la richiesta di condivisione di dati sensibili. Uno di questi mostra una cartella denominata "Italy", contenente 36.393 file distribuiti in 5.223 sottocartelle.
La stessa azienda ha parlato di una «sofisticata truffa» nella quale «una terza parte non autorizzata ha utilizzato un indirizzo email con dominio di un ente governativo per inviare richieste fraudolente di informazioni». L'indirizzo pec, certificato, era quindi legittimo e credibile. Peccato che dall'altro lato ci fosse una banda di criminali informatici che è stata in grado di beffare il più grande gruppo fintech europeo, con 80 milioni di clienti in 30 Paesi. Cinque milioni di correntisti sono solo in Italia. La banca ha però subito tranquillizzato i clienti: «I sistemi di Revolut e i fondi non sono stati toccati».
Sul caso indaga anche l'Italia, con la Direzione nazionale antimafia e antiterrorismo - visto che la violazione riguarda un ente governativo - e con la procura di Reggio Calabria, che ha aperto un'inchiesta per intrusione in un sistema informatico di pubblico interesse, accesso abusivo e frode informatica. Sul tavolo dei magistrati è stata trasmessa una prima informativa della polizia postale sull'accesso illegale alla pec della prefettura. Da chiarire se sia stato compromesso un computer della prefettura di Reggio Calabria, oppure del Viminale. Le indagini puntano anche a stabilire se la mail istituzionale sia stata semplicemente violata, oppure clonata.
Nel nostro Paese c'è anche un terzo fronte di inchiesta: il Garante della Privacy ha avviato una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane. Uno degli obiettivi è appurare se ci siano stati altri casi di infiltrazioni tentate o effettuate. Gli istituti bancari sono stati sollecitati a fare accertamenti interni approfonditi. Dagli uffici dell'Authority è infatti partita una comunicazione alla rete dei responsabili di protezione dati degli istituti bancari, nella quale si invita a procedere ad una «solerte verifica» dei propri sistemi e a comunicare immediatamente eventuali anomalie. È anche partita un'azione congiunta con l'Autorità omologa della Lituania, dove si trova la sede legale principale di Revolut, invitando a uno scambio di informazioni, così da rafforzare l'azione di contrasto. Il Garante si è attivato anche sul fronte del ministero dell'Interno, per analizzare meglio la vicenda e capire se ci siano altre banche o istituti finanziari coinvolti.
© RIPRODUZIONE RISERVATA