Il caso Revolut si allarga, ma contemporaneamente cambia contorni. Da una parte c’è un fatto ormai definito: i dati riservati di circa 680 clienti della fintech sono finiti nelle mani di criminali che si sono presentati come autorità italiane. Dall’altra c’è una rivendicazione molto più grave — 147 gigabyte di materiale attribuito alle forze dell’ordine — sulla quale i primi accertamenti non avrebbero trovato riscontri. Una distinzione decisiva per comprendere una vicenda che intreccia cybersecurity, controlli bancari e affidabilità delle comunicazioni istituzionali.
I dati consegnati da Revolut
L’attacco non avrebbe violato direttamente i database della banca. Secondo il Financial Times, Revolut ha consegnato informazioni su 680 correntisti dopo aver ricevuto richieste fraudolente attraverso un indirizzo governativo italiano: tra i dati figuravano documenti d’identità, indirizzi, fotografie di verifica, numeri di conto e informazioni sulle transazioni. Revolut sostiene che i propri sistemi interni e i fondi dei clienti non siano stati compromessi. Il meccanismo rende il caso particolarmente delicato per il settore finanziario: gli aggressori non avrebbero dovuto forzare l’infrastruttura tecnologica di Revolut, ma avrebbero sfruttato la fiducia attribuita alle comunicazioni provenienti dalle istituzioni. Il gruppo sostiene inoltre di aver individuato le vittime attraverso analisi blockchain, concentrandosi su clienti con consistenti disponibilità in criptovalute. La maggior parte dei soggetti coinvolti sarebbe residente in Francia e Svizzera, con altri clienti distribuiti in numerosi Paesi europei.
La pista italiana e l’indagine di Reggio Calabria
Le richieste risultavano riconducibili a una casella istituzionale della Prefettura di Reggio Calabria, ma resta da stabilire tecnicamente come sia stata utilizzata. La Procura di Reggio Calabria ha aperto un’inchiesta ipotizzando l’intrusione in un sistema informatico di pubblico interesse; già il 16 settembre gli investigatori precisavano di non avere certezza che fosse stato compromesso un computer della Prefettura o del Viminale. Sul caso sta lavorando anche la Polizia Postale. La vicenda ha intanto acceso un secondo fronte, quello dei controlli sulle banche. Il Garante per la Privacy ha avviato una verifica sulla sicurezza degli accessi degli istituti italiani e ha chiesto ai responsabili della protezione dei dati di controllare eventuali anomalie. L’Autorità ha inoltre aperto uno scambio di informazioni con l’omologa lituana, rilevante per Revolut, e sta cercando di verificare se possano essere stati interessati altri intermediari finanziari.
I 147 gigabyte rivendicati: cosa sappiamo davvero
È qui che occorre distinguere i dati accertati dalle dichiarazioni degli attaccanti. Il gruppo che si presenta come “IAmNotAVillain” sostiene di avere ottenuto circa 147 gigabyte di documenti riconducibili alle forze dell’ordine italiane. La rivendicazione era già emersa nei giorni scorsi, insieme alla pretesa di aver avuto accesso per mesi a infrastrutture pubbliche, ma non costituisce di per sé la prova che quella quantità di materiale sia stata effettivamente sottratta. L’aggiornamento del 18 settembre ridimensiona, almeno per ora, questa parte della vicenda. Secondo quanto riportato dal Sole 24 Ore, i primi controlli della Polizia Postale sui sistemi del ministero dell’Interno non avrebbero individuato falle e non confermerebbero la sottrazione dei 147 gigabyte rivendicati. Gli accertamenti sono ancora in corso: allo stato attuale, quindi, è documentata la compromissione dei dati consegnati da Revolut, mentre il presunto maxi-furto al Viminale resta una dichiarazione degli hacker priva, finora, di riscontro investigativo.
Il rischio economico: quando l’identità istituzionale diventa la vulnerabilità
Per banche e fintech il caso solleva una questione che va oltre Revolut. La sicurezza non riguarda più soltanto firewall e database, ma anche la capacità di verificare chi si trova realmente dall’altra parte di una richiesta istituzionale. Se un canale considerato affidabile può essere utilizzato per ottenere documenti finanziari, la vulnerabilità si sposta dal perimetro informatico alle procedure con cui vengono autorizzati e trasferiti i dati. È proprio su questo punto che le verifiche del Garante potrebbero assumere un rilievo più ampio per il sistema bancario. Il costo potenziale non è soltanto reputazionale. Il gruppo ha successivamente avanzato una richiesta di 3 milioni di dollari, da pagare in Monero, minacciando di vendere le informazioni sottratte ai clienti. Revolut, che secondo il Financial Times serve circa 80 milioni di persone ed è stata valutata 115 miliardi di dollari in una recente transazione sul mercato secondario, si trova così davanti a un incidente che mette alla prova non tanto la sicurezza dei conti quanto i protocolli di verifica attraverso cui una grande piattaforma finanziaria risponde alle autorità pubbliche.
