Facciamo luce sul data breach di Revolut

COS'È SUCCESSO NEL DETTAGLIO - Dietro l'ennesimo data breach che ha coinvolto milioni di clienti fintech, questa volta c'è un dettaglio che rende la storia diversa dal solito: al centro non c'è un attacco informatico ai sistemi di Revolut, rimasti del tutto intatti insieme ai fondi degli utenti, ma un raggiro riuscito attraverso un canale considerato affidabile per definizione, quello istituzionale. La casella di posta certificata utilizzata dagli attaccanti appartiene infatti alla Prefettura di Reggio Calabria, nello specifico all'ufficio enti locali che fa capo al Ministero dell'Interno. Sfruttando quell'account realmente compromesso, i criminali hanno inviato a Revolut un finto "ordine europeo di indagine", ottenendo i dati personali di circa 700 clienti selezionati chirurgicamente tra i profili con i portafogli di criptovalute più ingenti. A rendere la vicenda ancora più singolare è il fattore tempo: è stata la stessa Revolut ad accorgersi dell'inganno solo dopo cinque mesi, quando alcune anomalie hanno insospettito gli analisti della banca, che hanno contattato la Prefettura per vie parallele scoprendo che l'ufficio non aveva mai richiesto quei dati. L'account PEC è rimasto nelle mani dei criminali da marzo a luglio senza che i sistemi di monitoraggio statali se ne accorgessero e ora il Ministero dell'Interno si trova al centro di un caso politico, in attesa di una nota che chiarisca pubblicamente la falla.

UN CORTOCIRCUITO GIURIDICO - C'è un aspetto grottesco nella vicenda, sollevato da diverse testate specializzate, che riguarda prima di tutto le competenze: formalmente la Prefettura coordina l'ordine pubblico sul territorio, ma non ha alcuna competenza penale per richiedere dati bancari all'estero (richiesta inviata a Revolut Bank UAB, che ha sede legale a Vilnius, in Lituania), una prerogativa che spetta esclusivamente alle Procure della Repubblica attraverso canali giudiziari dedicati. Revolut ha quindi accettato un ordine proveniente da un ufficio amministrativo che, a prescindere dalla compromissione informatica, non avrebbe mai potuto legittimamente emettere. Sul piano tecnico, il nodo centrale è quello che gli esperti di AML intelligence (Anti-Money Laundering) definiscono "il conflitto tra conferma del server e conferma del mittente": i sistemi di conformità delle fintech spesso si limitano a verificare che l'email arrivi da un dominio certificato, senza accertare se la persona fisica che scrive sia davvero un investigatore autorizzato a richiedere quei dati. Un limite tutt'altro che nuovo, considerando che, secondo molti esperti, gli accessi alle PEC governative circolano sul dark web da anni.

DUE RESPONSABILITÀ DISTINTE - È proprio su questo punto che, secondo molti analisti di cyber-risk, la responsabilità non andrebbe divisa a metà tra le due parti coinvolte. Dal punto di vista della normativa sulla protezione dei dati, sono in gioco due obblighi diversi: da un lato la Prefettura, che gestiva il proprio sistema di posta istituzionale, aveva il dovere di adottare misure tecniche adeguate a proteggerlo da intrusioni esterne, come previsto dall'art. 32 del GDPR sulla sicurezza del trattamento; dall'altro Revolut, titolare del trattamento dei dati personali dei propri clienti, aveva comunque l'obbligo di verificare la legittimità sostanziale della richiesta prima di trasmettere informazioni di quel genere, secondo il principio di accountability sancito dagli articoli 5 e 24 del GDPR. Trattandosi di dati riguardanti circa 700 clienti ad alto profilo, lo standard di sicurezza avrebbe dovuto portare a una verifica "out-of-band" (metodo di controllo che utilizza un canale di comunicazione separato e indipendente rispetto a quello principale, ad esempio una telefonata ai canali istituzionali centrali del Ministero o all'Europol) invece di limitarsi a rispondere all'email già controllata dagli hacker. Non stupisce quindi che il dibattito si stia ora spostando sui rimborsi e sulle possibili sanzioni del Garante della privacy lituano, che con ogni probabilità multerà Revolut proprio per questa mancanza. Ma la vicenda, più in generale, dice qualcosa di più ampio sulle fragilità strutturali delle attuali procedure antiriciclaggio: più i sistemi AML e KYC (Know Your Customer, è una procedura obbligatoria di identificazione e verifica dell'identità) concentrano e interconnettono dati identificativi e finanziari, più questi archivi diventano bersagli ad altissimo valore per cybercriminali e furti di identità.