Una comunicazione autentica, ma non necessariamente legittima
Il recente caso del furto di dati ai danni di Revolut mostra come una violazione possa avvenire senza compromettere direttamente i sistemi dell’organizzazione che detiene i dati.
Le verifiche ufficiali hanno ora ristretto una parte importante dell’incertezza iniziale. Il 17 settembre il Governo ha riferito che CSIRT Italia ha accertato la compromissione di una casella PEC riconducibile alla Prefettura di Reggio Calabria, analizzando un campione di una delle e-mail fraudolente fornito da Revolut. La fintech ha confermato di avere trasmesso informazioni riferite a 680 clienti, di cui otto italiani, già informati dell’accaduto.
Restano invece distinti e non accertati i più ampi scenari rivendicati dagli attaccanti.
Il punto critico non è quindi soltanto la sicurezza del database di origine, ma la catena di fiducia che autorizza il trasferimento delle informazioni.
Il punto focale di questo caso è che una casella istituzionale realmente compromessa è diventata il veicolo di richieste apparentemente ufficiali.
È qui che emerge la prima falla della chain of custody digitale. Infatti l’autenticità tecnica del canale è stata trattata come prova dell’identità e dei poteri di chi lo utilizzava. Tuttavia la validità del mittente non garantisce la legittimità della richiesta, né sostituisce il controllo sulla base giuridica e sul perimetro dei dati richiesti.
I passaggi deboli nella custodia e nel trasferimento
La vicenda mette in evidenza una chain of custody frammentata, nella quale più soggetti hanno attribuito valore decisivo a segnali che, isolatamente, non bastano.
Le infrastrutture pubbliche custodiscono credenziali e caselle; la PEC certifica provenienza e consegna; l’intermediario finanziario valuta la richiesta ed esporta i dati. Infine, il destinatario dovrebbe riceverli e usarli per finalità definite. Se manca una verifica indipendente in uno di questi passaggi, una richiesta fraudolenta può attraversare l’intera catena con l’aspetto di un atto regolare.
Le ultime notizie mostrano anche la fase successiva del fallimento: dopo la mancata estorsione alla società, il gruppo IAmNotAVillain avrebbe aperto un sito nel dark web, pubblicato anteprime riconducibili a una decina di clienti e annunciato la vendita dei dati o il ricatto diretto degli interessati.
Sono emerse anche pubblicazioni attribuite a uffici del Ministero dell’Interno, ma la rivendicazione complessiva relativa a 147 GB di materiale non risulta ancora verificata in modo indipendente dalle autorità.
L’evoluzione del caso dimostra che una custodia fallita non si esaurisce al momento della consegna: documenti, selfie KYC, informazioni bancarie e cronologie delle operazioni possono essere copiati, ricombinati e riutilizzati per phishing, furti d’identità ed estorsioni.
Per ricostruire responsabilità e percorso dei file servono header originali, log PEC, registri di accesso e impronte crittografiche conservati in modo integro. Se tali tracce non vengono correlate rapidamente, la catena probatoria resta incompleta proprio mentre i dati continuano a circolare fuori controllo.
Dalla fiducia implicita alla verifica continua
La lezione principale è che la custodia dei dati non termina quando un archivio è protetto da controlli di accesso: prosegue in ogni richiesta, autorizzazione, esportazione e passaggio tra enti.
Per rafforzare la chain of custody occorre separare almeno quattro verifiche: autenticità del canale, identità dell’operatore, legittimazione sulla specifica pratica e proporzionalità delle informazioni domandate. Una richiesta proveniente da un dominio governativo deve essere convalidata attraverso un secondo canale indipendente, collegata a un fascicolo o provvedimento verificabile e sottoposta a controlli sulle anomalie.
Nel caso Revolut, la durata delle richieste, il loro volume e l’eventuale assenza di un decreto dell’autorità giudiziaria avrebbero dovuto attivare un livello di revisione aggiuntivo.
Sul versante pubblico servono autenticazione multifattore resistente al phishing, gestione rigorosa delle sessioni, privilegi minimi e monitoraggio continuo; sul versante di chi consegna i dati occorrono approvazioni multiple e verifica diretta presso l’ente richiedente.
Ogni trasferimento dovrebbe generare una registrazione non modificabile di richiedente, approvatore, base giuridica, dataset estratto, destinatario, data e hash dei file.
L’apertura di verifiche e indagini da parte delle autorità mostra che l’incidente non riguarda una sola casella o una sola banca, ma il processo con cui le istituzioni e le imprese si scambiano informazioni sensibili.
Il caso Revolut conferma dunque che la fiducia deve essere verificata a ogni passaggio: solo una catena documentata, tracciabile e sottoposta a controlli incrociati può impedire che un’identità digitale autentica venga trasformata in uno strumento di esfiltrazione.