Un gruppo di hacker, servendosi di una mail compromessa di una istituzione italiana, è riuscito ad ottenere dati sensibili di alcune centinaia di correntisti - 680, secondo un stima del Financial Times - della banca inglese Revolut.
La procedura con la quale l'attaccco è stato condotto ha del clamoroso: sembrerebbe che la truffa si sia sviluppata lungo un intervallo di 5 mesi con richieste spalmate su più periodi. A non insospettire la banca, il fatto che le richieste provenissero da una pec istituzionale col dominio interno.it - probabilmente quella prefettura di Reggio Calabria - e fossero firmate 'polizia postale'.
Gli istituti finanziari infatti sono tenuti per legge a ottemperare alle richieste ufficiali provenienti dalle autorità statali o dalle agenzie governative. Per questo motivo, le comunicazioni appartenenti a questi domini vengono trattate come istanze legali vincolanti.
Nel caso in questione, quindi, le richieste sembravano corredate da una valida autenticazione tecnica del dominio e sono state quindi evase nell'ambito delle ordinarie procedure di adempimento degli obblighi di legge. Tuttavia, non mancavano segnali che avrebbero dovuto far scattare l'allarme: la comunicazione della Polizia Postale su Pec della prefettura di Reggio Calabria, quando in realtà la Polizia ha una sua Pec. A ciò si aggiunga che, in questi casi, le comunicazioni sono corredate dal decreto dell'autorità giudiziaria che, pare, in questo caso mancasse.
La banca inglese ha parlato di una "sofisticata truffa di impersonificazione esterna, nella quale un soggetto terzo non autorizzato ha utilizzato un indirizzo e-mail appartenente a un dominio legittimo di un'agenzia governativa per presentare richieste fraudolente di informazioni. Non appena individuata la frode - ha ribadito - abbiamo immediatamente bloccato l'indirizzo e informato l'agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle dell'accaduto e fornire loro assistenza". Ciononostante, la banca minimizza: "I sistemi di Revolut e i fondi dei clienti non sono stati toccati".
Sul caso indagano la Polizia Postale italiana per accesso abusivo a sistema informatico e frode informatica e le autorità britanniche.
(Associated Medias) - Tutti i diritti sono riservati