Cosa sappiamo della truffa ai danni di Revolut, partita dall’Italia

Grazie alla compromissione di un computer nella Prefettura di Reggio Calabria, un gruppo di criminali informatici è riuscito a imbastire una complessa e prolungata operazione di impersonificazione delle autorità italiane. A farne le spese è stata la banca britannica Revolut che, nella convinzione di stare comunicando con le forze dell’ordine, ha risposto alle richieste dei criminali condividendo informazioni personali e bancarie di centinaia di correntisti.

Secondo quanto rivendicato dagli stessi hacker, sarebbero almeno 680 i clienti coinvolti, una cifra riportata anche dal Financial Times. La pubblicazione online di documenti d’identità e di almeno due estratti conto completi appartenenti ad altrettanti imprenditori internazionali sembra confermare almeno in parte la versione degli attaccanti, che nelle ultime ore hanno iniziato a rendere pubbliche alcune delle informazioni in loro possesso, verosimilmente nel tentativo di fare pressione sulla banca e indurla a pagare un riscatto.

Durante la notte tra il 15 e il 16 settembre, sulla piattaforma online GitHub – utilizzata principalmente dagli sviluppatori per condividere codice informatico – un nuovo account riconducibile al gruppo criminale (e successivamente rimosso) ha iniziato a pubblicare fotografie, documenti di identità e altre informazioni relative a clienti di Revolut: proprio il genere di materiale che la banca richiede agli utenti per verificare la loro identità durante l’apertura di un conto da remoto.

L’operazione, rivendicano gli attaccanti, avrebbe avuto una durata di diversi mesi. Le richieste fraudolente sono state inviate a Revolut nell’arco di circa cinque mesi e distribuite nel tempo, una modalità che potrebbe aver contribuito a non attirare immediatamente l’attenzione dei sistemi di controllo della banca.

Due fonti indipendenti tra loro e a conoscenza dei fatti hanno confermato a IrpiMedia che l’attacco è iniziato con la compromissione di un computer della Prefettura di Reggio Calabria, come inizialmente riportato dal Corriere della Sera. Sebbene alcuni screenshot delle email utilizzate dagli hacker fossero già circolati ampiamente, i metadati presenti nelle intestazioni dei messaggi erano stati oscurati dagli stessi attaccanti, rendendo più difficile stabilirne con certezza l’esatta origine.

È sul computer compromesso che gli attaccanti avrebbero installato un cosiddetto infostealer, una categoria di software malevolo progettata per sottrarre dal dispositivo infetto credenziali, cookie di sessione, password salvate nel browser e altre informazioni utilizzabili per accedere agli account della vittima. In questo modo gli hacker avrebbero ottenuto anche le credenziali necessarie per utilizzare la casella di posta elettronica certificata compromessa.

«Quello che è mancato, evidentemente, è un controllo proattivo della sicurezza dei sistemi: qualcuno avrebbe dovuto notare una connessione esterna o più connessioni contemporanee» commenta Stefano Fratepietro, esperto di sicurezza informatica e imprenditore: «Qualunque sistema dovrebbe essere dotato, e normalmente è così, di una politica di impossible travel: se vedi che la connessione non è coerente con l’uso normale e previsto, la si blocca e si approfondisce. Se per sei mesi degli attaccanti hanno potuto collegarsi in remoto alla pec della Prefettura, dobbiamo evincere che nessuno ha controllato i “viaggi impossibili” di quella trasmissione di dati». 

A facilitare ulteriormente l’accesso sarebbe stata una configurazione particolarmente debole della casella. IrpiMedia è in grado di rivelare che l’account di posta compromesso sarebbe potuto essere utilizzato senza autenticazione a due fattori, una misura di sicurezza che aggiunge al semplice inserimento della password una seconda verifica dell’identità dell’utente.

La possibilità di utilizzare la casella senza questo ulteriore controllo sarebbe dipesa, secondo quanto ricostruito da due fonti che hanno richiesto l’anonimato, dalla sua sincronizzazione con un client di posta, cioè un software esterno al browser che consente di leggere e inviare email senza passare dalla webmail. Una volta ottenute le credenziali, gli attaccanti avrebbero quindi potuto utilizzare l’indirizzo istituzionale per inviare a Revolut richieste apparentemente autentiche.

«Si continua a ripetere che dobbiamo attivare la sovranità tecnologica e portarci le infrastrutture in casa – chiosa l’esperto – ma se non siamo in grado di attivare un Soc (Security Operations Center, o centrale di monitoraggio di una infrastruttura informatica ndr.) allora ci stiamo solamente esponendo a rischi più grandi e costanti nel tempo». 

Le responsabilità di Revolut

Il meccanismo della frode è stato particolarmente efficace: presentarsi come un’autorità pubblica utilizzando una casella di posta realmente appartenente a un’istituzione italiana.

Le comunicazioni provenivano infatti da un indirizzo istituzionale riconducibile al dominio interno.it e, secondo quanto emerso, venivano presentate come richieste della Polizia postale. Le email superavano inoltre i normali controlli tecnici di autenticazione del dominio perché non provenivano da un indirizzo contraffatto, bensì da uno legittimo. 

Avendo il controllo della casella, inoltre, non è stato difficile per gli attaccanti cancellare le email che inviavano e le relative risposte, in modo che dalla Prefettura nessuno se ne accorgesse. 

Per gli istituti finanziari questo tipo di comunicazione è particolarmente delicato. Le banche sono tenute a rispondere, nei casi e con le procedure previste dalla legge, alle richieste provenienti dalle autorità giudiziarie e dalle forze dell’ordine. Una comunicazione trasmessa da un dominio governativo autentico può quindi presentarsi, almeno sul piano tecnico, come molto più credibile di una normale email di phishing.

La provenienza della posta elettronica, tuttavia, non era l’unico elemento che Revolut avrebbe potuto prendere in considerazione. Alcuni dettagli delle richieste avrebbero potuto destare sospetti: le comunicazioni risultavano firmate dalla Polizia postale pur provenendo da una Pec della Prefettura di Reggio Calabria, mentre la Polizia postale dispone di propri indirizzi istituzionali. Inoltre, secondo quanto ricostruito finora, alle richieste sarebbe mancato il provvedimento dell’autorità giudiziaria normalmente previsto nei procedimenti in cui vengono richiesti determinati dati bancari. Ma ancora, l’account utilizzato, secondo quanto appreso da IrpiMedia, sarebbe quello deputato alle comunicazioni con gli enti locali (entilocali.prefcl): decisamente incoerente con l’invio di richieste giudiziarie. 

Inoltre, la banca sembra aver omesso di verificare che le richieste giudiziarie si fondassero su una base giuridica solida. Dai materiali diffusi dagli stessi hacker emerge la diffusione, tra gli altri, di documenti realtivi a correntisti svizzeri, i quali non sarebbero dovuti essere condivisi secondo le leggi del Paese. Dopo essersi accorta dell’errore Revolut avrebbe chiesto ai falsi inquirenti – sempre nella convinzione di parlare con un’autorità – di distruggere immediatamente la documentazione già trasmessa relativa a quattro specifici clienti. Nella comunicazione, diffusa dagli hacker, la banca spiega che quei conti erano soggetti a una diversa giurisdizione e che le informazioni non avrebbero dovuto essere condivise proprio in ragione dei vincoli connessi al segreto bancario. Gli hacker hanno successivamente utilizzato questo episodio per accusare pubblicamente la fintech di aver trasmesso dati al di fuori della corretta competenza territoriale e in violazione delle norme applicabili. La dinamica è ora al centro degli accertamenti avviati dalla Polizia postale italiana e dall’autorità britannica per la protezione dei dati, l’Information Commissioner’s Office (ICO).

Ma come facevano gli attaccanti a sapere quali conti correnti chiedere? Secondo una prima ricostruzione circolata sui social e frutto di ricercatori indipendenti, un elemento chiave dell’attacco sarebbe stato l’uso di una strategia “spray and pray”: l’attaccante avrebbe inviato a Revolut centinaia di identificativi di transazioni e indirizzi crypto ricavati da blockchain pubbliche, accompagnandoli con falsi ordini investigativi europei. In questo modo, anziché violare direttamente i sistemi della società, avrebbe sfruttato le procedure di risposta alle richieste delle autorità per collegare indirizzi pseudonimi a clienti reali e ottenere grandi quantità di dati personali, inclusi documenti d’identità, selfie, informazioni sui conti e cronologia delle transazioni.

Revolut ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna», spiegando che un soggetto terzo non autorizzato ha utilizzato «un indirizzo e-mail appartenente a un dominio legittimo di un’agenzia governativa per presentare richieste fraudolente di informazioni».

La società sostiene che i propri sistemi informatici e i fondi dei clienti non siano stati compromessi. «Non appena individuata la frode – ha dichiarato la banca – abbiamo immediatamente bloccato l’indirizzo e informato l’agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria». Revolut afferma inoltre di avere contattato direttamente le persone coinvolte per informarle dell’accaduto e fornire loro assistenza.

Resta però aperta la questione delle verifiche effettuate prima della consegna dei dati. Tra le persone i cui documenti sono stati pubblicati dagli attaccanti compare anche l’imprenditore francese Mark Robert Karpelès, che ha contestato la condotta della banca sostenendo che Revolut non avrebbe dovuto trasmettere informazioni sui propri clienti sulla sola base della provenienza dell’email da un indirizzo governativo.

Sul caso stanno indagando anche le autorità italiane. La Polizia postale ha avviato accertamenti per accesso abusivo a sistema informatico e frode informatica, mentre le autorità britanniche stanno esaminando quanto accaduto sul versante della banca.

È intervenuto anche il Codacons, che ha chiesto alle autorità competenti di verificare l’effettiva estensione della compromissione, accertando «se e quante istituzioni italiane siano state violate dai criminali informatici e quali Pec siano state utilizzate per realizzare furti di dati sensibili».

Né il Viminale né la Prefettura di Reggio Calabria hanno risposto nell’immediato a una richiesta di commento di IrpiMedia. Revolut non ha risposto a una richiesta di commento.