Il recente caso del leak di danni di Revolut, che ha comportato l’esposizione di dati personali e finanziari di circa 680 clienti della fintech britannica, dimostra che un indirizzo PEC appartenente realmente a un’amministrazione pubblica non è, da solo, una garanzia sufficiente sull’autenticità di una richiesta. Secondo le ricostruzioni emerse negli ultimi giorni, i criminali avrebbero ottenuto il controllo di una casella riconducibile alla Prefettura di Reggio Calabria sul dominio pec.interno.it, utilizzandola per inviare a Revolut richieste apparentemente provenienti dalle autorità italiane. La Polizia Postale sta indagando proprio per accesso abusivo a sistema informatico e frode informatica.

Revolut ha confermato di essere stata vittima di una sofisticata forma di impersonificazione, ma ha precisato che i propri sistemi e i fondi dei clienti non sono stati compromessi. Il problema è che la richiesta appariva provenire da un interlocutore istituzionale reale. Di conseguenza, Revolut avrebbe fornito informazioni personali e finanziarie relative a un numero limitato di clienti, tra cui documenti d’identità, dati anagrafici, IBAN, estratti conto e cronologie delle transazioni.

Una PEC compromessa diventa un’identità digitale rubata

Sulla base delle informazioni disponibili al momento, non si tratta di una semplice falsificazione dell’indirizzo del mittente. Le ricostruzioni più recenti indicano infatti che gli aggressori avrebbero avuto accesso alla casella istituzionale vera e propria e questo modifica completamente il modello di attacco. Una PEC compromessa può essere infatti utilizzata per costruire una comunicazione coerente con la normale attività dell’ufficio: mittente corretto, dominio corretto, cronologia dei messaggi e, soprattutto, possibilità di rispondere direttamente alle comunicazioni ricevute.

È proprio questo il punto che aziende e organizzazioni devono prendere in considerazione. La PEC certifica l’invio e la consegna del messaggio secondo le regole del sistema, ma non può impedire che un account legittimo venga utilizzato da chi ne ha ottenuto il controllo. In altre parole, autenticità della casella e autenticità della persona che la sta utilizzando non sono la stessa cosa.

Per questo le aziende stanno raccomandando di considerare potenzialmente malevole anche le comunicazioni provenienti da PEC della Pubblica amministrazione o delle forze dell’ordine, soprattutto quando richiedono dati personali, informazioni finanziarie, documenti, credenziali o altre informazioni riservate.

leak revolut

La firma digitale diventa un controllo aggiuntivo

Una delle contromisure indicate dagli esperti è verificare, quando presente, la firma digitale associata alla comunicazione e al documento trasmesso, controllando il certificato, il soggetto firmatario, la validità della firma e la coerenza tra firmatario, ufficio e richiesta.

Il principio è quello della verifica fuori banda. Se una richiesta PEC impone di consegnare una grande quantità di dati sensibili, il destinatario dovrebbe utilizzare un secondo canale ufficiale per verificare che la richiesta sia realmente partita dall’ufficio indicato. Una telefonata a un numero reperito autonomamente sul sito istituzionale, e non semplicemente riportato nella mail, può interrompere una catena di compromissione molto sofisticata.

Il rischio riguarda anche le altre conversazioni

C’è però un’altra conseguenza del caso Revolut che rischia di passare in secondo piano. Se gli aggressori hanno realmente avuto accesso alle caselle PEC istituzionali e non si sono limitati a utilizzarle per spedire richieste fraudolente, il problema non riguarda soltanto i messaggi indirizzati a Revolut.

Le ricostruzioni pubblicate negli ultimi giorni parlano infatti di accesso prolungato alle caselle e di possibile sottrazione dei messaggi presenti al loro interno. Alcune rivendicazioni sull’entità dei dati sottratti, comprese quelle relative a decine o centinaia di gigabyte e a più sistemi delle forze dell’ordine, non risultano però ancora confermate indipendentemente e devono quindi essere considerate con cautela.

Se questo scenario fosse però confermato, un’azienda che negli ultimi mesi ha scambiato comunicazioni PEC con una delle caselle compromesse dovrebbe quindi considerare anche quei messaggi come potenzialmente esposti. Potrebbero contenere documenti, dati personali, informazioni su procedimenti, comunicazioni interne o altri elementi riservati.

Le organizzazioni che hanno avuto rapporti via PEC con gli uffici coinvolti dovrebbero quindi effettuare una ricerca interna delle comunicazioni ricevute e inviate negli ultimi mesi, individuando quelle provenienti dalle caselle potenzialmente compromesse e valutando quali informazioni contenessero.

A monte, sarebbe importante che il Ministero dell’Interno chiarisse quali caselle sono state coinvolte, quale periodo di compromissione è stato accertato e quali interlocutori esterni hanno avuto rapporti con quegli account. L’avviso ai soggetti interessati è infatti una componente essenziale della gestione dell’incidente, visto che una persona o un’azienda non può proteggere dati che non sa essere potenzialmente finiti nelle mani di un attaccante.