Revolut: quando l’anello debole non è il sistema, ma la fiducia

Il data breach che ha colpito Revolut nelle scorse settimane merita un’analisi che vada oltre il titolo allarmistico. Non siamo di fronte a un’intrusione informatica nel senso classico del termine: nessun firewall bucato, nessuna vulnerabilità software sfruttata nei sistemi bancari. Siamo di fronte a qualcosa di più insidioso, perché più difficile da prevenire con i soli strumenti tecnologici: un attacco di social engineering condotto sfruttando la fiducia istituzionale come vettore d’ingresso. In trent’anni di attività nella digital forensics ho imparato che i casi più gravi nascono quasi sempre da un varco umano, non tecnico. Questo caso lo conferma, pur con alcuni contorni ancora da accertare in via definitiva che saranno espletati con la specificità delle indagini in ambito giuridico.

La dinamica dell’attacco: come si è mossa la minaccia

Ciò che Revolut ha confermato ufficialmente è essenziale: nessuna intrusione nei propri sistemi, ma la consegna di dati a un soggetto non autorizzato che ha utilizzato una casella di posta elettronica certificata riconducibile, forse, alla Prefettura di Reggio Calabria, sul dominio governativo pec.interno.it,

Su questa base sono circolate ricostruzioni giornalistiche e analisi di settore basate anche su identificativi di transazioni in criptovalute, ma che a oggi restano ricostruzioni non confermate punto per punto dalla stessa Revolut o dalle autorità italiane, e vanno quindi trattati con la dovuta cautela professionale, distinguendo il fatto accertato dalla rivendicazione o dall’ipotesi investigativa.

Il fattore tempo: il vero campanello d’allarme ignorato

C’è un elemento che, a mio avviso, pesa più di ogni altro in questa vicenda: le fonti giornalistiche concordano nell’indicare un’attività fraudolenta protratta per diverse settimane, secondo alcune ricostruzioni alcuni mesi, ancora da accertare, prima che Revolut effettuasse una verifica diretta con l’istituzione italiana e scoprisse l’inganno. Le stime sulla durata esatta variano da fonte a fonte, ma il dato qualitativo resta solido e istruttivo: non stiamo parlando di un singolo tentativo isolato, bensì di richieste ripetute nel tempo, con una frequenza che avrebbe dovuto insospettire chi analizzava i pattern operativi in modo sistematico. Il tempo, in ambito forense, è quasi sempre l‘indicatore più eloquente: un attaccante che opera per settimane o mesi senza essere intercettato non sta sfruttando una singola falla, sta sfruttando l’assenza strutturale di un controllo di coerenza e monitoraggio nel processo di sicurezza e genuinità delle informazioni per l’anomalia di un volume elevato di istanze da un singolo ente periferico con l’assenza di riscontri incrociati con altri canali istituzionali. La formazione del personale non è un costo accessorio nella cybersecurity, è la prima linea di difesa reale, spesso più efficace di qualunque investimento tecnologico, perché intercetta l’anomalia comportamentale prima che diventi danno.

I segnali tecnici che avrebbero potuto anticipare la compromissione

Al netto della componente umana, esistono indicatori metrici che possono identificare e rilevare un account compromesso prima che venga usato per sottrarre dati sensibili. Nel caso Revolut, ciascuno di questi indicatori era presente in forma latente e non consentivano sicuramente di distinguere una richiesta istituzionale genuina da una fraudolenta. Le autorità sicuramente approfondiranno questi temi scientifici per ricostruire le cause della tipologia e metodologia dell’attacco.

Cosa implementare per il futuro

Per evitare che account istituzionali vengano nuovamente presi di mira con questa efficacia, ritengo necessarie alcune misure concrete: l’adozione di canali comunicativo dedicati e certificati per le richieste ufficiali tra enti governativi e operatori finanziari, in sostituzione della posta elettronica tradizionale; l’obbligo di firma digitale qualificata su ogni richiesta di dati sensibili, riscontri “out-of-band” dal canale primario di richiesta, per esempio riscontro telefonico o l’utilizzo di una piattaforma dedicata prima di evadere richieste con dati critici; e infine programmi di formazione continua e simulazioni periodiche di social engineering per il personale compliance, non come evento occasionale ma come pratica strutturale ricorrente.

Un problema Revolut o una vulnerabilità di settore

Sarebbe un errore non attenzionare questo episodio come una falla isolata di Revolut. La stessa dinamica, gestione di migliaia di richieste istituzionali a settimana sotto scadenze stringenti, spesso di 24 ore, riguarda allo stesso modo banche, provider di telecomunicazioni e piattaforme social. Il paradosso è evidente: agli utenti finali si impongono protocolli di sicurezza rigorosi, le comunicazioni e l’uso di piattaforme digitali sono forse poco adeguate, non proprio compliance alle normative NIS2/DORA/ Cyber Risk Act/Ai Act. Fino a quando questa asimmetria non verrà colmata con standard tecnici condivisi a livello normativo, il fintech nel suo complesso resterà sicuramente esposto allo stesso tipo di attacco, indipendentemente dal singolo operatore coinvolto.

*Consulente Informatico Forense, CTU Tribunale di Roma, DPO Certificato