Nessun attacco informatico diretto, nessuna falla nei server o sistema “bucato”. L’ultimo data breach che ha coinvolto Revolut, la maggiore fintech europea con oltre 80 milioni di clienti, risponde a una dinamica del tutto nuova ed estremamente insidiosa: l’impersonificazione di un’autorità pubblica. La società britannica ha infatti consegnato i dati personali e finanziari di circa 680 clienti a un gruppo di cybercriminali a seguito di una richiesta apparentemente legittima. Il canale utilizzato è stato la Posta Elettronica Certificata (PEC) di un’amministrazione pubblica italiana. La Pec assegna valore legale ai messaggi, motivo per cui la richiesta ha superato i controlli automatici di autenticazione ed è stata gestita come un normale adempimento di legge. Secondo l’esperto forense Paolo Dal Checco, si tratta di un attacco “Man in the Mail”: gli hacker avrebbero preso il controllo di una casella reale tramite un infostealer, un malware capace di sottrarre le credenziali d’accesso.
Il materiale trasmesso riguarda le informazioni raccolte per gli obblighi antiriciclaggio e KYC (Know Your Customer): dati anagrafici, passaporti, foto per il riconoscimento facciale, coordinate bancarie, estratti conto e cronologia delle transazioni. Tra gli interessati figurano anche il tennista Shevchenko e Marc Zeller, noto operatore del settore crypto. L’incidente, confermato da Revolut il 12 settembre e definito una «sofisticata truffa di impersonificazione», ha spinto l’Information Commissioner’s Office britannico ad avviare un’indagine. Nel frattempo, il gruppo hacker iamnotavillain sostiene di essere penetrato nei sistemi di varie forze dell’ordine italiane, accumulando 147 GB di file. Il caso ha travalicato i confini della sicurezza informatica arrivando alla politica: l’onorevole Giulia Pastorella ha già annunciato un’interrogazione parlamentare urgente per chiarire la vulnerabilità delle PEC istituzionali.