Non è stato necessario violare alcuna infrastruttura digitale. Gli autori dell’attacco avrebbero semplicemente bussato con un’identità istituzionale credibile, ottenendo così l’accesso. È in questo modo che un gruppo di hacker sarebbe riuscito a sottrarre informazioni sensibili a centinaia di clienti di Revolut, la banca fintech britannica, sfruttando una casella di posta elettronica certificata riconducibile — secondo le prime ricostruzioni — alla Prefettura di Reggio Calabria.
La vicenda, riportata da Ansa, Corriere della Sera e Financial Times, avrebbe coinvolto circa 680 correntisti. Tra i dati richiesti e poi trasmessi figurerebbero documenti d’identità, passaporti, informazioni sui conti, movimenti finanziari e operazioni in Bitcoin.
Le indagini sono in corso nel Regno Unito e in Italia, dove la Polizia postale ipotizza i reati di accesso abusivo a sistema informatico e frode informatica. Secondo Agi, l’indirizzo istituzionale compromesso sarebbe proprio quello Pec della Prefettura di Reggio Calabria: utilizzando questa copertura, gli hacker si sarebbero spacciati per operatori della Polizia postale, ottenendo così i dati dei clienti. Sono in corso verifiche sulla reale violazione e sull’eventuale esistenza di altri attacchi.
Il raggiro sarebbe durato circa cinque mesi, con comunicazioni inviate in momenti diversi. Le e‑mail arrivavano da una Pec con dominio interno.it e risultavano firmate “Polizia postale”. Un elemento che avrebbe favorito l’inganno è l’obbligo, per gli istituti finanziari, di rispondere alle comunicazioni ufficiali provenienti da forze dell’ordine o autorità pubbliche: richieste provenienti da domini governativi verificati vengono infatti trattate come atti legali vincolanti.
Secondo la ricostruzione, gli hacker avrebbero sfruttato proprio questa fiducia nei canali istituzionali. Le comunicazioni avrebbero superato i controlli tecnici di autenticazione del dominio e sarebbero state considerate legittime.
Non mancavano, tuttavia, segnali sospetti. Le richieste erano firmate dalla Polizia postale ma provenivano da una Pec della Prefettura, mentre la Polizia postale dispone di propri canali certificati. Inoltre, in casi simili, le richieste degli investigatori sono accompagnate da un decreto dell’autorità giudiziaria: nei messaggi inviati dagli hacker, secondo quanto riferito, tale documentazione non era presente.
Sono proprio questi elementi a sollevare interrogativi sulle verifiche effettuate da Revolut prima di consegnare i dati e sui protocolli interni di controllo.
Revolut ha definito l’accaduto una “sofisticata truffa di impersonificazione esterna”. Secondo la banca, un soggetto non autorizzato avrebbe utilizzato un indirizzo e‑mail appartenente a un dominio governativo legittimo per inoltrare richieste fraudolente.
L’istituto afferma di essere intervenuto immediatamente dopo aver individuato la frode, bloccando l’indirizzo coinvolto e informando l’agenzia governativa interessata, le autorità di polizia, quelle per la protezione dei dati e gli organismi di vigilanza finanziaria. Revolut precisa inoltre che i sistemi interni e i fondi dei clienti non sarebbero stati compromessi e che le persone coinvolte sono state contattate direttamente.
Tra i clienti coinvolti ci sarebbe anche l’imprenditore francese Mark Robert Karpelès, che ha criticato la banca sostenendo che non avrebbe dovuto inviare dati sensibili “solo perché la richiesta proveniva da un’agenzia governativa”.
La vicenda apre così un fronte più ampio sulla sicurezza delle comunicazioni istituzionali e sulle procedure adottate dagli operatori finanziari per verificare l’autenticità delle richieste di accesso ai dati personali.
Il Codacons ha chiesto accertamenti sull’ampiezza dell’attacco, domandando quante istituzioni italiane possano essere state violate e quali caselle Pec siano state utilizzate per ottenere informazioni riservate. Le verifiche dovranno chiarire come sia stato possibile compromettere una casella istituzionale, per quanto tempo gli aggressori abbiano avuto accesso e quali ulteriori dati possano essere stati acquisiti.
La presunta violazione della Pec della Prefettura di Reggio Calabria compare anche nelle interrogazioni presentate da Pd e Avs al ministro dell’Interno. I parlamentari chiedono un chiarimento immediato, definendo “estremamente gravi” le notizie circolate e sollecitando il Governo a fare luce sulla vicenda.
