C’è qualcosa di paradossale nel nome scelto dagli hacker: “I am not villain”, non sono cattivo. Peccato che il gruppo abbia dimostrato quanto possa essere pericoloso un attacco informatico senza nemmeno dover violare direttamente i sistemi dell'azienda presa di mira. La vittima è Revolut, l’applicazione finanziaria e banca digitale che permette di gestire conti, carte, risparmi, investimenti, cambi di valuta e criptovalute direttamente dallo smartphone e che, a differenza di molte banche tradizionali, ha sempre mostrato una certa apertura nei confronti di Bitcoin. Gli hacker sono riusciti a ottenere i dati di circa 680 clienti semplicemente fingendosi la polizia italiana. Secondo le ricostruzioni, il gruppo avrebbe compromesso una PEC riconducibile alla Prefettura di Reggio Calabria e da quella casella avrebbe iniziato a inviare a Revolut richieste ufficiali: stiamo conducendo un’indagine, consegnateci i dati di queste persone. Provenendo da una casella istituzionale autentica, tali richieste apparivano totalmente legittime.

Il risultato è particolarmente grave perché non parliamo soltanto di nomi e numeri di telefono, tra le informazioni ottenute ci sarebbero documenti d'identità, indirizzi, estratti conto, numeri di telefono, immagini utilizzate per il riconoscimento facciale e persino la cronologia delle transazioni in criptovalute.

Gli attaccanti hanno selezionato le vittime analizzando la blockchain di Bitcoin, pubblica per natura, individuando gli indirizzi con transazioni verso Revolut riconducibili a patrimoni consistenti, chiedendo poi all'azienda i dati associati. È il lato più scomodo della trasparenza della rete Bitcoin: finché un indirizzo resta anonimo il rischio è limitato, ma collegarlo a un nome, un indirizzo di casa e un patrimonio in Bitcoin cambia tutto. I am not villain avrebbe ora chiesto un riscatto di tre milioni di dollari in Monero, minacciando di vendere i dati a organizzazioni criminali. La scelta non è casuale: Monero è una criptovaluta progettata per garantire un livello di privacy molto più elevato rispetto a molte altre, rendendo più difficile ricostruire mittente, destinatario e importo delle transazioni. Una caratteristica particolarmente utile per chi vuole incassare un riscatto riducendo le possibilità di essere rintracciato.

La vicenda pone una domanda inevitabile: di chi è la colpa? È difficile attribuirla a Revolut, che si è trovata davanti a richieste provenienti da un account istituzionale apparentemente autentico. La società, inoltre, avrebbe rifiutato alcune richieste riguardanti utenti residenti in giurisdizioni extraeuropee e, dopo mesi di comunicazioni, avrebbe individuato le anomalie e denunciato l’accaduto. Il problema è iniziato molto prima, con la compromissione della casella di posta della Prefettura, cosa che purtroppo può accadere a chiunque abbia accesso a un computer: basta un malware, un errore umano o una credenziale compromessa per trasformare una normale casella di posta in una porta d’ingresso verso sistemi molto più grandi.

Ed è proprio questo il punto: la sicurezza informatica non può più essere considerata una questione esclusivamente tecnica. Servono formazione continua per chi lavora con dati sensibili, sistemi di sicurezza adeguati e standard obbligatori per le infrastrutture pubbliche e private. Per progettare un impianto elettrico esistono norme, certificazioni e responsabilità precise.

Nel mondo digitale, da cui ormai dipendono tutte le istituzioni pubbliche, siamo ancora troppo spesso nella fase del contenimento dei danni anziché in quella della prevenzione. Servono standard di sicurezza obbligatori per le infrastrutture pubbliche, non meno rigidi di quelli richiesti alle banche. Finché tali standard mancheranno, la catena continuerà a essere vulnerabile nel suo punto più debole: spesso, proprio quello a cui viene stata dedicata meno attenzione.