Revolut, hacker usano una PEC della Prefettura di Reggio Calabria: dati di circa 680 clienti nelle mani dei criminali

La casella istituzionale sarebbe stata compromessa e utilizzata per inviare false richieste a nome della Polizia Postale. Tra le informazioni ottenute documenti d’identità, dati bancari e cronologie delle transazioni. Indagano la Polizia Postale italiana e le autorità britanniche

16 SET - ROMA – Una casella di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria sarebbe stata utilizzata da un gruppo di cybercriminali per fingersi appartenenti alla Polizia Postale e ottenere da Revolut informazioni riservate sui propri clienti. La vicenda, riportata dal Financial Times e da diverse testate italiane, avrebbe coinvolto circa 680 correntisti, secondo la stima del quotidiano britannico, mentre la fintech non ha reso pubblico un numero ufficiale.

L’episodio non sarebbe consistito in un’intrusione diretta nei sistemi informatici di Revolut. Gli autori avrebbero sfruttato invece una casella istituzionale compromessa, utilizzandola per dare credibilità a richieste apparentemente provenienti dalle autorità italiane.

Secondo le ricostruzioni finora emerse, le comunicazioni sarebbero state inviate attraverso il dominio istituzionale del Ministero dell’Interno e presentate come richieste della Polizia Postale. Il fatto che i messaggi provenissero da un indirizzo appartenente a un dominio governativo autentico avrebbe contribuito a rendere credibili le richieste.

Gli hacker avrebbero mantenuto i contatti con Revolut per un periodo prolungato, inviando diverse richieste di informazioni su specifici clienti. Tra i dati che sarebbero stati acquisiti figurano copie di documenti d’identità e passaporti, informazioni bancarie, indirizzi e cronologie delle transazioni, comprese operazioni relative alle criptovalute.

La tecnica avrebbe quindi fatto leva non su una vulnerabilità diretta della piattaforma finanziaria, ma sulla compromissione di un canale di comunicazione istituzionale e sulla conseguente impersonificazione di un’autorità pubblica.

Le ricostruzioni giornalistiche evidenziano anche alcuni elementi che avrebbero potuto insospettire i destinatari delle richieste. Le comunicazioni sarebbero state presentate come provenienti dalla Polizia Postale, pur utilizzando una casella riconducibile alla Prefettura di Reggio Calabria.

Secondo quanto riportato da diverse fonti, inoltre, nelle richieste non sarebbero comparsi i provvedimenti dell’autorità giudiziaria che normalmente accompagnano l'acquisizione di determinate informazioni bancarie. Gli accertamenti dovranno ora stabilire come siano state effettuate le verifiche e perché le richieste siano state considerate legittime.

Sulla vicenda sono in corso accertamenti da parte della Polizia Postale e delle autorità britanniche. In Italia l'inchiesta ipotizza, secondo le informazioni disponibili, i reati di accesso abusivo a sistema informatico e frode informatica. Al centro delle verifiche c'è anche la modalità con cui sarebbe stata compromessa la casella istituzionale e l'identificazione dei responsabili.

La vicenda ha inoltre attirato l'attenzione delle autorità britanniche per la protezione dei dati. L'Information Commissioner's Office ha aperto un'indagine sul caso.

Revolut ha definito l'episodio una sofisticata forma di impersonificazione esterna e ha precisato che i propri sistemi informatici e i fondi dei clienti non sarebbero stati compromessi.

La società ha riferito di aver bloccato l'indirizzo utilizzato per le richieste fraudolente, informato le autorità competenti e contattato direttamente i clienti coinvolti per fornire loro assistenza.

Tra le persone interessate dalla violazione dei dati è stato indicato anche Mark Karpelès, ex amministratore delegato di Mt. Gox. La vicenda resta comunque al centro degli accertamenti, che dovranno chiarire l'esatta entità della compromissione e la quantità di informazioni effettivamente sottratte.