Hacker violano la PEC della Prefettura di Reggio Calabria: rubati i dati sensibili di 680 correntisti Revolut

ROMA – Un clamoroso attacco hacker a Revolut. Un gruppo di cybercriminali è riuscito a sottrarre dati altamente sensibili – tra cui documenti d’identità, passaporti, estratti conto bancari e persino transazioni in criptovalute – appartenenti a circa 680 correntisti della nota banca fintech inglese Revolut (stima diffusa dal Financial Times). Per mettere a segno l’attacco, i pirati informatici hanno sfruttato un canale ritenuto finora a prova di errore: Avrebbero usato una casella PEC compromessa appartenente alla Prefettura di Reggio Calabria.

La dinamica del data breach: una truffa durata cinque mesi

L’attacco non è avvenuto tramite una falla d’accesso diretta nei server della banca, ma attraverso una complessa strategia di impersonificazione. I criminali hanno inviato comunicazioni dal dominio istituzionale @pec.interno.it, spacciandosi per la Polizia Postale e richiedendo formalmente l’invio dei dati dei clienti. Trattandosi di comunicazioni provenienti da un dominio governativo verificato, gli istituti finanziari sono tenuti per legge a collaborare prontamente con le forze dell’ordine. La truffa è proseguita inosservata per circa cinque mesi, con richieste scaglionate nel tempo.

Nonostante la validità tecnica dell’autenticazione del dominio, diversi elementi avrebbero potuto far scattare un allarme a cominciare dall’anomalia del mittente. Le richieste erano intestate alla Polizia Postale ma inviate tramite la PEC della Prefettura di Reggio Calabria (l’organo di polizia dispone di canali PEC propri). Mancavano i necessari decreti emessi dall’Autorità Giudiziaria, allegati obbligatoriamente per autorizzare l’ostensione dei dati bancari.

Le indagini della Polizia Postale. La banca inglese: ‘Fondi non toccati’

Sulla vicenda sono attualmente in corso le indagini incrociate delle autorità britanniche e della Polizia Postale italiana, con l’apertura di un fascicolo per accesso abusivo a sistema informatico e frode informatica. Dalla sede della fintech giungono tuttavia rassicurazioni sull’incolumità dei patrimoni:

«I sistemi di Revolut e i fondi dei clienti non sono stati toccati. Si è trattato di una sofisticata truffa di impersonificazione esterna nella quale un soggetto non autorizzato ha utilizzato un indirizzo e-mail di un’agenzia governativa. Non appena individuata la frode, abbiamo bloccato l’indirizzo, informato le autorità di vigilanza e contattato direttamente i clienti coinvolti per fornire loro assistenza».

Le reazioni dei clienti e l’intervento del Codacons

Tra i correntisti colpiti figura anche il noto imprenditore francese Mark Robert Karpelès, che ha espresso forte contrarietà sul caso: «Revolut non avrebbe dovuto inviare i dati dei clienti in risposta a un’e-mail solo perché proveniva da un’agenzia governativa». Nel frattempo si registra la presa di posizione del Codacons, che ha chiesto un intervento ispettivo immediato alle autorità competenti per accertare le reali dimensioni del fenomeno, capire quante istituzioni pubbliche italiane siano state penetrate dai cybercriminali e verificare quali altre PEC siano state usate per compiere furti d’identità.