Non hanno violato i server della banca. Non hanno forzato un database e, per quanto sappiamo, non hanno sottratto denaro dai conti dei clienti. Hanno fatto qualcosa di apparentemente più semplice: si sono presentati come un’autorità pubblica e hanno chiesto informazioni riservate.
Il problema è che lo hanno fatto utilizzando un canale istituzionale autentico. Ed è proprio qui che il caso Revolut smette di essere soltanto la cronaca di un data breach e diventa una storia sulla fiducia digitale.
Revolut ha confermato di aver comunicato informazioni appartenenti ad alcuni clienti a soggetti non autorizzati dopo aver ricevuto richieste fraudolente provenienti da un dominio riconducibile a un’istituzione governativa legittima. La società ha precisato che i propri sistemi informatici e i fondi dei clienti non sono stati compromessi.
Sono 680 i clienti coinvolti. Il sottosegretario all’Interno Wanda Ferro, rispondendo in Parlamento, ha riferito che otto sono italiani. L’Agenzia per la cyber sicurezza nazionale aveva ricevuto da Revolut, il 12 settembre, la segnalazione di un possibile incidente. Tre giorni dopo la società ha confermato il data breach, indicando la compromissione di un indirizzo PEC riferibile alla Prefettura di Reggio Calabria.
L’analisi di una delle email utilizzate dagli attaccanti ha successivamente consentito al CSIRT Italia di accertare la compromissione.
Ed è proprio qui che la vicenda diventa interessante. Una PEC può fornire garanzie sulla trasmissione di un messaggio. Non dimostra automaticamente che chi controlla in quel momento l’account sia anche il soggetto legittimato a utilizzarlo.
Sembra una distinzione banale ma evidentemente non lo è.
Gli aggressori hanno sfruttato quella che potremmo definire una “credibilità ereditata“. Non avevano bisogno di costruire la reputazione del mittente, perché quella reputazione era già incorporata nel canale istituzionale compromesso. Il messaggio poteva essere fraudolento, ma la casella dalla quale proveniva era reale.
Secondo le ricostruzioni giornalistiche, le richieste si presentavano come attività investigative delle autorità italiane. ANSA ha riferito che alcuni messaggi risultavano firmati come provenienti dalla Polizia Postale, pur transitando attraverso una PEC della Prefettura. Una discrepanza che, vista a posteriori, appare significativa.
È però necessario distinguere quanto accertato dalle autorità, dai dettagli provenienti dagli aggressori. Il gruppo che ha rivendicato l’operazione sostiene, per esempio, di aver sottratto circa 147 GB di documenti e di essere rimasto a lungo all’interno dei sistemi collegati alla casella compromessa.
Sono elementi ripresi dalla stampa e presenti anche in atti parlamentari, ma allo stato delle informazioni pubbliche restano rivendicazioni che non possiamo trasformare automaticamente in fatti accertati.
Inoltre, parlare genericamente di “hackeraggio di Revolut” rischia di raccontare una storia diversa da quella realmente emersa. Secondo la società non vi è stata una compromissione della propria infrastruttura informatica. Gli aggressori hanno utilizzato richieste fraudolente e Revolut ha fornito loro informazioni ritenendo di rispondere a interlocutori legittimi.
Si tratta di social engineering applicato non al singolo cliente, ma ad una procedura organizzativa. Il bersaglio, in altre parole, non era il server, era la fiducia. Ed è una differenza sostanziale, perché dimostra che possiamo avere firewall, crittografia e sistemi di sicurezza sofisticati, ma se una procedura considera sufficientemente affidabile una richiesta perché arriva attraverso un canale istituzionale, l’attaccante potrebbe non avere bisogno di superare quelle difese. Gli basta diventare, agli occhi dell’organizzazione, qualcuno di cui fidarsi.
La gravità dell’incidente emerge anche dalla natura delle informazioni coinvolte. Tra i dati potenzialmente esposti figurano informazioni anagrafiche e di contatto, indirizzi, numeri telefonici, documenti d’identità e, per alcuni clienti, selfie utilizzati nelle procedure di verifica, estratti conto e cronologia delle transazioni. Non stiamo parlando di una semplice lista di email. Parliamo di informazioni capaci di ricostruire una parte consistente dell’identità personale e finanziaria di una persona. Ed esiste una differenza sostanziale tra perdere una password e perdere questi dati.
Una password si cambia, un volto no!
Qui emerge anche il paradosso del KYC, Know Your Customer. Le procedure di identificazione servono a contrastare frodi, riciclaggio e altre attività illecite. Per dimostrare chi siamo, però, consegniamo documenti, fotografie, indirizzi e informazioni finanziarie. Più accurato diventa il processo di identificazione, maggiore è il valore dell’archivio che deve essere protetto.
Le ricostruzioni disponibili indicano inoltre che gli aggressori avrebbero cercato clienti con consistenti patrimoni in criptovalute, partendo anche dalle informazioni pubblicamente osservabili sulle blockchain.
Se questa dinamica sarà definitivamente confermata, aggiungerà un altro elemento alla vicenda. Un indirizzo blockchain può rendere osservabili determinate transazioni senza rivelare automaticamente nome, volto e abitazione del proprietario. Il rischio cambia quando qualcuno riesce a collegare i due mondi: da una parte il patrimonio digitale e dall’altra l’identità fisica.
Wallet, disponibilità economiche, documenti, fotografia e indirizzo di residenza possono trasformare una fuga di dati finanziari in qualcosa che supera i confini della cybersecurity.
Sarebbe facile concludere che “la PEC è insicura“. Ma il caso Revolut, almeno per quello che sappiamo oggi, non dimostra una vulnerabilità strutturale della PEC. Dimostra qualcosa di diverso: anche un canale autentico può diventare pericoloso quando viene compromessa l’identità autorizzata a utilizzarlo.
Per chiarire meglio, se qualcuno ruba le chiavi di casa e apre regolarmente la porta, non possiamo dire che abbia scassinato la serratura. Possiamo però chiederci se quelle chiavi fossero custodite adeguatamente e se esistessero controlli capaci di capire chi le stava utilizzando.
Nel digitale accade qualcosa di molto simile ed eccoci al punto in questione. Dominio corretto, casella istituzionale, documento plausibile, linguaggio appropriato. Se tutti questi elementi dipendono dalla stessa identità compromessa, non abbiamo quattro verifiche indipendenti, ma abbiamo, in realtà, la stessa verifica ripetuta quattro volte.
È qui che entra in gioco il principio della verifica fuori banda, la cosiddetta out of band verification. Una richiesta di dati particolarmente sensibili dovrebbe essere confermata attraverso un canale indipendente, utilizzando recapiti istituzionali ottenuti autonomamente e non quelli contenuti nella comunicazione ricevuta. Non è una tecnologia fantascientifica, anzi è una cosa quasi banale.
Il caso Revolut, al momento, ci ricorda che nella cybersecurity siamo abituati a cercare la falla nel software, nel server o nel protocollo. Qualche volta, invece, la falla si trova nello spazio invisibile tra due sistemi perfettamente funzionanti la macchina e l’uomo e quello spazio si chiama fiducia.
