Revolut consegna ai criminali i dati di 680 clienti: la richiesta è partita da una casella mail della prefettura di Reggio Calabria

Commenti

L’email indirizzata a Revolut per ottenere i dati riservati di centinaia di clienti è partita da una casella di posta certificata della prefettura di Reggio Calabria, secondo fonti del Corriere della Sera. Ma il vero mittente non erano i funzionari pubblici, bensì criminali informatici che avevano ottenuto il controllo dell’account. Un indirizzo pec, certificato, dunque legittimo e credibile senza necessità (apparentemente) di ulteriori verifiche. Non si è trattato di un attacco informatico tradizionale, una violazione dei sistemi informatici, ma un raggiro in piena regola. Revolut – il più grande gruppo fintech europeo con 80 milioni di clienti in 30 Paesi, 5 milioni in Italia – ha condiviso i dati richiesti: passaporti e documenti d’identità, dati bancari e Iban, foto per la verifica dell’identità e cronologia delle transazioni. Dati riservati di circa 680 clienti, secondo il Financial Times: un numero non confermato da Revolut. Tra di loro Mark Karpelès, l’ex amministratore delegato di di MtGox , l’exchange di criptovalute più grande al mondo fino al default con strascichi legali e la condanna di Karpelès. I clienti coinvolti sono stati avvisati dalla compagnia. Il 15 settembre è stata aperta un’indagine dall’Information Commissioner’s Office, l’autorità britannica per la protezione dei dati. Pochi giorni prima Revolut aveva presentato un esposto all’organismo di controllo. Sull’episodio sta indagando la Polizia postale: l’ipotesi di reato è accesso abusivo a sistema informatico e frode informatica.

La tecnica informatica è stata battezzata dagli esperti “Man in the Mail”, come ha evidenziato l’informatico forense Paolo Del Checco sul suo canali Linkedin. I criminali avrebbero assunto il controllo della casella di posta grazie ad un infostealer, un malware per infettare un pc e rubare informazioni. Dunque il messaggio è realmente partito dall’account della prefettura di Reggio Calabria. I criminali hanno richiesto i dati a nome della Polizia postale italiana. E la società Fintech ha considerato la richiesta del tutto legittima, consegnando le informazioni. Fino a quando il gruppo si è insospettito, chiamando direttamente l’autorità pubblica italiana, che ha negato ogni richiesta inoltrata via pec.