Il caso Revolut e la lezione per le aziende:
quando una comunicazione apparentemente autentica
nasconde una truffa
La notizia: una PEC istituzionale compromessa usata per ottenere dati dei clienti
Una truffa ai danni di Revolut riporta al centro un rischio spesso sottovalutato dalle imprese: una comunicazione apparentemente legittima può diventare lo strumento di un attacco informatico.
Secondo quanto riportato da ANSA e RaiNews, un gruppo di cybercriminali avrebbe utilizzato un indirizzo di posta elettronica istituzionale italiano compromesso, riconducibile secondo le ricostruzioni alla Prefettura di Reggio Calabria, per inviare richieste fraudolente di informazioni a Revolut. Le richieste sarebbero state presentate come comunicazioni provenienti dalle autorità.
La fintech ha confermato una truffa di impersonificazione esterna, nella quale un soggetto non autorizzato avrebbe sfruttato un indirizzo appartenente a un dominio governativo legittimo per ottenere informazioni. Le ricostruzioni giornalistiche parlano di circa 680 clienti coinvolti e di dati personali e finanziari potenzialmente esposti.
La Polizia Postale sta indagando. Revolut ha dichiarato che i sistemi e i fondi dei clienti non sono stati compromessi direttamente: la vicenda riguarda la divulgazione non autorizzata di informazioni a seguito di richieste fraudolente.
Il punto centrale, quindi, non è soltanto la violazione di un account di posta elettronica. È il modo in cui quella compromissione sarebbe stata sfruttata per superare un processo di verifica e ottenere dati riservati.
Una richiesta plausibile non è una richiesta automaticamente legittima
Le autorità investigative possono avere titolo per richiedere informazioni agli istituti finanziari nell’ambito di indagini e procedimenti previsti dalla legge. Per questo, una comunicazione che richiama un’attività investigativa può apparire plausibile a chi la riceve.
Il caso Revolut mostra però il limite di una verifica basata prevalentemente sulla provenienza apparente del messaggio. Una PEC può risultare effettivamente inviata da una casella istituzionale senza essere stata scritta dal funzionario autorizzato: se l’account è compromesso, l’attaccante può sfruttarne l’identità digitale.
La verifica, quindi, non deve fermarsi al dominio del mittente, ma occorre accertare l’identità e i poteri del richiedente, verificare la documentazione e la base giuridica della richiesta, controllare che i dati richiesti siano pertinenti e utilizzare procedure di autenticazione e tracciabilità adeguate.
Per le aziende, la lezione è concreta: non basta riconoscere una comunicazione ufficiale; bisogna verificare che sia autentica, autorizzata e legittima prima di agire.
Il vero problema: fidarsi del mittente non basta
Le aziende utilizzano ogni giorno email, PEC, ticket, richieste di assistenza e comunicazioni provenienti da fornitori, clienti, consulenti e autorità e molte di queste comunicazioni possono contenere richieste urgenti di accesso, documenti, informazioni personali o dati economici.
La PEC offre garanzie specifiche sulla trasmissione e sulla consegna del messaggio, ma non certifica che chi controlla una casella compromessa sia effettivamente il soggetto autorizzato a richiedere quei dati.
È qui che si apre una vulnerabilità organizzativa: un messaggio può provenire da un indirizzo reale e, allo stesso tempo, essere utilizzato da un soggetto non autorizzato.
Per un’impresa, il rischio non si limita alla sottrazione di credenziali. Può coinvolgere documenti contrattuali, dati dei dipendenti, informazioni bancarie, proprietà intellettuale, archivi clienti e comunicazioni riservate.
Una procedura che si basa esclusivamente sull’indirizzo del mittente, sulla formalità del messaggio o sull’urgenza della richiesta può trasformare un singolo account compromesso in un punto di accesso a informazioni aziendali.
Dalla frode finanziaria al rischio per ogni impresa
Il caso Revolut offre un esempio concreto di una dinamica applicabile a molti contesti aziendali: l’attaccante non deve necessariamente violare direttamente il sistema che custodisce i dati. Può cercare di convincere una persona o un processo aziendale a consegnarli.
Questa logica si ritrova in diversi scenari:
- Frodi finanziarie: richieste di modifica dell’IBAN di un fornitore o di variazione delle coordinate per un pagamento.
- Furto di dati: richieste fraudolente di elenchi clienti, documenti di identità, contratti o informazioni sul personale.
- Compromissione degli account: utilizzo di una casella email aziendale reale per rendere credibili ulteriori richieste.
- Social engineering: pressione psicologica attraverso urgenza, autorità apparente, riservatezza o minaccia di conseguenze.
- Abuso delle procedure: sfruttamento di processi interni che consentono di condividere informazioni senza una verifica indipendente.
Il filo conduttore è la manipolazione della fiducia. La tecnologia può ridurre il rischio, ma non sostituisce processi chiari e persone preparate.
Perché le aziende devono intervenire prima dell’incidente
La prevenzione non può essere affidata soltanto all’attenzione individuale del dipendente, anche un professionista esperto può trovarsi davanti a una comunicazione plausibile, proveniente da un account autentico e inserita in un contesto operativo credibile.
Le imprese devono quindi progettare procedure che rendano difficile divulgare dati o autorizzare operazioni sulla base di una sola comunicazione.
Questo significa definire in anticipo:
- quali informazioni possono essere condivise e da chi;
- quali ruoli possono autorizzare la divulgazione;
- quali richieste richiedono una verifica tramite un canale indipendente;
- quali operazioni devono essere approvate da una seconda persona;
- come segnalare rapidamente un messaggio sospetto;
- come conservare le evidenze e gestire un possibile incidente.
La sicurezza diventa così una responsabilità condivisa tra IT, direzione, risorse umane, amministrazione, ufficio legale e responsabili della protezione dei dati.
La risposta di Digiup: cybersecurity dedicata alla prevenzione
Digiup può aiutare le aziende a prevenire le frodi attraverso un approccio che integra analisi dei processi, protezione tecnologica e formazione mirata. Dalla verifica indipendente delle richieste sensibili alla protezione degli account, fino alle simulazioni di social engineering e ai piani di risposta agli incidenti, l’obiettivo è ridurre i rischi e rafforzare la capacità di riconoscere e gestire le minacce.