Revolut, gli hacker chiedono 3 milioni. L’esperto: «La Pec va declassata»

REGGIO CALABRIA «E’ molto grave che degli hacker abbiano ottenuto da Revolut dati personali e bancari di circa 680 clienti mediante richieste riconducibili a una casella pec della Prefettura di Reggio Calabria». Lo dice in una nota il deputato Alfonso Colucci, capogruppo M5S in commissione Affari Costituzionali. La richiesta degli hacker che rivendicano una violazione dei dati presso Revolut agita la politica nazionale. I pirati informatici hanno minacciato di vendere i dati riservati di centinaia di clienti ad altri gruppi criminali, a meno che la banca online britannica non paghi un riscatto di 3 milioni di dollari entro 24 ore. Lo scrive il Financial Times, riferendo che il gruppo, che si fa chiamare ‘iamnotavillain‘, ha pubblicato l’ultimatum sul proprio sito web mercoledì pomeriggio, accanto a un conto alla rovescia digitale. «La richiesta pubblica è insolita, dato che gli hacker di solito preferiscono avanzare richieste di riscatto in privato e renderle pubbliche solo se la vittima si rifiuta di pagare o di negoziare, solitamente pubblicando i dettagli dell’attacco su un sito di divulgazione del dark web», scrive il FT. Il giornale aveva contattato gli hacker tramite Telegram dopo che questi avevano creato il sito web nella tarda serata di lunedì, pubblicando screenshot oscurati di alcune delle informazioni ottenute. Il Financial Times riferisce anche che poco dopo aver pubblicato la richiesta di riscatto, gli hacker hanno inviato un video di 60 secondi con una cattura dello schermo che mostra un utente non identificabile mentre sfoglia l’archivio dei presunti documenti di Revolut.

Parla l’esporto

Sul caso è intervenuto Gerardo Costabile, executive vicepresident di Dinova ed esperto di cybersecurity e cybercrime. «Non si è trattato di un semplice attacco di phishing, ma di un’azione condotta attraverso un account Pec autentico e compromesso in precedenza – spiega Costabile -. I sistemi di sicurezza tecnici di Revolut hanno regolarmente validato il messaggio da un punto di vista infrastrutturale, la falla si è verificata nei processi di verifica dell’identita’ e nella fiducia riposta nelle comunicazioni certificate». Costabile sottolinea come il dibattito attuale sulla sicurezza informatica sia troppo sbilanciato sulle minacce, reali ma future, dell’Intelligenza Artificiale, mentre nella realtà quotidiana aziende e Pubblica Amministrazione continuano a cadere su procedure digitali apparentemente sicure. «La Pec- precisa- è vittima di un equivoco culturale prima ancora che tecnologico, certifica l’integrità della busta digitale, ma non chi vi sia dietro la tastiera. Nel frattempo, secondo i dati Cert-AgID, sono aumentati dell’80% i casi di malware e phishing inviati via Pec, e la Pubblica Amministrazione rischia di diventare un inconsapevole vettore d’attacco». E allora? «Serve un deciso cambio di rotta procedurale, non l’ennesimo software costoso. La Pec va declassata: non dovrebbe più essere utilizzata per lo scambio di dati sensibili. Ogni richiesta di dati riservati dovrebbe essere sempre verificata tramite un canale indipendente, anche se arriva dal più importante dei Ministeri. Fino a quando la burocrazia sostituirà la vera verifica dei processi, continueremo a temere le minacce del futuro mentre i nostri dati finiscono nelle mani dei cybercriminali», conclude Costabile. (f.b.)

Il Corriere della Calabria è anche su WhatsApp. Basta cliccare qui per iscriverti al canale ed essere sempre aggiornato