Revolut, i 680 clienti e l’ombra di uno Stato

Seicentoottanta. Sono le persone i cui dati sarebbero finiti nelle mani degli aggressori di Revolut. Un numero sorprendentemente piccolo per un’operazione che, secondo chi l’ha rivendicata, sarebbe andata avanti per mesi e avrebbe coinvolto sistemi appartenenti a diverse strutture italiane di law enforcement. E che solleva una domanda: perché proprio loro?

La ricostruzione è ormai abbastanza chiara. Revolut non è stata bucata. Gli aggressori, che ieri alle 18.30 hanno dato 24 ore di tempo per pagare un riscatto di circa 3 milioni di euro in criptovalute per evitare la pubblicazione dei dati sottratti, avrebbero invece utilizzato una Pec riconducibile alla Prefettura di Reggio Calabria per inviare alla fintech richieste apparentemente provenienti dalle autorità italiane. E così avrebbero ottenuto documenti d’identità, selfie per il Kyc, indirizzi, Iban, estratti conto e cronologie delle transazioni. Secondo il Financial Times, i clienti coinvolti sarebbero circa 680.

È qui che il caso cambia prospettiva.

«È un numero risibile», dice a Linkiesta Matteo Mauri, responsabile Sicurezza e Cybersicurezza del Partito democratico, che ha presentato un’interrogazione al ministro dell’Interno Matteo Piantedosi. «Il governo deve fornire risposte su un numero così limitato, che potrebbe essere sia la spia di un interesse diverso da quello della criminalità informatica».

Una spiegazione c’è, e non va scartata: criminalità informatica mirata. Se l’obiettivo erano clienti con grandi disponibilità in criptovalute, poche centinaia di persone possono rappresentare un bottino enorme. Ma bisogna capire come siano state scelte.

Gli aggressori avrebbero inviato a Revolut centinaia di identificativi pubblici di transazioni crypto, chiedendo di risalire alle persone che vi erano dietro. Dalla blockchain, insomma, alla persona: una richiesta apparentemente investigativa per trasformare un indirizzo pubblico in un dossier con nome, documenti e informazioni finanziarie.

La domanda è se gli aggressori abbiano cercato le whales – cioè individui, fondi di investimento o entità che possiedono una quantità enorme di una specifica criptovaluta – a caso o se avessero già una lista di obiettivi. Hanno bucato la Pec per scoprire chi fossero quei 680, oppure hanno bucato la Pec perché sapevano già chi cercare?

È qui che entra in gioco anche l’ipotesi di un attore statale. Non perché ci siano oggi prove per attribuire l’operazione a un governo straniero: non ce ne sono. Ma perché uno Stato interessato a ottenere informazioni finanziarie e personali potrebbe, almeno in teoria, avere un’altra strada rispetto a un’operazione condotta direttamente dai propri apparati: servirsi di criminali informatici come fornitori.

È un modello che avrebbe almeno due vantaggi: costi e deniability. Un gruppo criminale può svolgere un’operazione per conto di un committente senza che sia immediatamente riconducibile a un apparato statale. E può farlo utilizzando strumenti, infrastrutture e competenze che uno Stato non deve necessariamente sviluppare o impiegare direttamente. È un’ipotesi, non un’attribuzione. Ma è una delle cose che andrebbero verificate.

È la pista che ora Mauri chiede al governo di non escludere. Nell’interrogazione presentata al ministro dell’Interno domanda se l’operazione possa essere ricondotta a una semplice frode a scopo di lucro oppure a «un’attività mirata di dossieraggio da parte di soggetti legati ad apparati esteri». Chiede inoltre di chiarire per quanto tempo la casella sia rimasta compromessa, se vi siano altre caselle coinvolte e quali misure urgenti siano state adottate per rafforzare le difese informatiche.

Per farlo bisogna partire dalla casella compromessa. Quante richieste sono partite da quell’indirizzo? Quando? Verso quali società? Solo Revolut oppure anche banche, exchange, operatori telefonici e altre piattaforme? E soprattutto: quali persone erano oggetto delle richieste?

C’è poi un altro elemento, ancora tutto da verificare. L’attaccante che si fa chiamare IAmNotAVillain sostiene di avere avuto accesso per circa sei mesi a sistemi appartenenti a diverse strutture italiane di law enforcement e di avere sottratto circa 147 gigabyte di materiale. Per ora è una rivendicazione non verificata. Se fosse confermata, Revolut potrebbe essere soltanto uno degli obiettivi.

La vicenda, in quel caso, non riguarderebbe più soltanto la sicurezza di una fintech. Riguarderebbe la sicurezza dell’identità digitale dello Stato. Una Pec autentica certifica l’origine di una comunicazione, ma non garantisce che chi la utilizza sia la persona autorizzata a farlo. Se la ricostruzione fosse confermata, quella fiducia sarebbe stata trasformata nella chiave per ottenere dati da un’azienda privata.

Mauri attacca il governo. «Questo governo, che fa della sicurezza una bandiera, è molto impegnato a partecipare a convegni in cui si dice quali sono i problemi ma non fa nulla per risolverli», dice, rivendicando una proposta di legge contro gli attacchi ransomware, che prevede il divieto di pagare i riscatti e che, secondo lui, «è stato lasciato cadere» dalla maggioranza.

Sul caso Revolut, invece, chiede: «Com’è possibile che il ministero che dovrebbe garantire sicurezza di tutti, e che per questo dovrebbe essere il più impermeabile di tutti, sia stato bucato e se ci siano precedenti di un utilizzo di quell’indirizzo».

La domanda resta quella di partenza. Perché 680?

Se erano vittime selezionate per il loro patrimonio, siamo davanti a un’operazione criminale sofisticata. Se erano obiettivi scelti in anticipo per una ragione ancora sconosciuta, dietro quei 680 potrebbe esserci una storia molto più grande.

L'articolo Revolut, i 680 clienti e l’ombra di uno Stato proviene da Linkiesta.it.