ITALIA, PARCO GIOCHI DEI PIRATI INFORMATICI – GLI HACKER DEL GRUPPO “IAMNOTAVILLAIN”, CHE SI SONO FATTI CONSEGNARE I DATI DEI CLIENTI DI REVOLUT, TRA CUI DOCUMENTI D’IDENTITÀ, SELFIE, IBAN, ESTRATTI CONTO E CRONOLOGIA DELLE TRANSAZIONI, AVREBBERO USATO UNA PEC COMPROMESSA DELLA PREFETTURA DI REGGIO CALABRIA – I CYBERCRIMINALI SOSTENGONO DI ESSERSI INFILTRATI PER MESI NEI SISTEMI DELLE FORZE DELL’ORDINE ITALIANE E DI AVER RACCOLTO 87 MILA FILE PER 147 GB DI DATI. A QUEL PUNTO HANNO AVUTO GIOCO FACILE: SPACCIANDOSI PER LA POLIZIA POSTALE, HANNO INOLTRATO LA RICHIESTA ALLA FINTECH BRITANNICA – SAREBBERO OLTRE 680 I CLIENTI AVVISATI…
Estratto dell’articolo di Roberto Cosentino per www.corriere.it
La compagnia fintech britannica Revolut, ha consegnato dati personali e finanziari di alcuni suoi clienti ad un gruppo di criminali informatici. […] L'elemento nuovo di questo episodio è che la fintech ha consegnato dati sensibili dietro ad una apparentemente legittima richiesta inoltrata tramite una pec compromessa della prefettura di Reggio Calabria con la quale i criminali hanno scritto a nome della polizia postale.
[…] Motivo per cui ha superato i controlli di autenticazione prima e trattata come una richiesta autentica poi, come un normale adempimento di legge. Inizialmente i messaggi non hanno insospettito Revolut che ha inviato i dati richiesti. Le e-mail sarebbero poi proseguite finché l'azienda non ha voluto vederci chiaro e si è rivolta direttamente all'istituzione italiana che ha negato di essere la fonte dei messaggi.
Sull'episodio sta indagando la polizia postale: l'ipotesi di reato è accesso abusivo a sistema informatico e frode informatica.
La società, che con oltre 80 milioni di clienti (5 milioni di Italiani, secondo i dati dello scorso maggio pubblicati da Milano Finanza) è la maggiore fintech europea, ha confermato l'incidente il 12 settembre. In una nota lo ha definito una «sofisticata truffa di impersonificazione esterna» e parlato di un numero «molto limitato» di persone coinvolte
. «Una terza parte non autorizzata - si legge nella nota - ha utilizzato un'email di dominio legittima di un'agenzia governativa per inviare richieste fraudolente di informazioni. Al momento del rilevamento, abbiamo immediatamente bloccato l'indirizzo e avvisato l'agenzia governativa competente, così come le agenzie di applicazione della legge, la protezione dei dati e i regolatori finanziari. I sistemi Revolut e i fondi dei clienti non sono stati toccati. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle e fornire supporto».
Il Financial Times, citando fonti a conoscenza dell'indagine interna, riferisce che i clienti contattati dall'azienda sarebbero circa 680: una cifra che Revolut non ha confermato pubblicamente. Il 15 settembre l'Information Commissioner's Office, l'autorità britannica per la protezione dei dati, ha reso noto di aver avviato un'indagine sull'incidente, dopo che la fintech si era autodenunciata all'organismo di controllo alcuni giorni prima.
[…] A rendere l'inganno efficace è stato il canale. La posta elettronica certificata attribuisce valore legale alla trasmissione di un messaggio: certifica che un documento è partito da un determinato indirizzo, che è stato consegnato e in quale momento. È il motivo per cui viene usata per le comunicazioni giudiziarie, ed è il motivo per cui una richiesta che arriva da una Pec istituzionale viene considerata attendibile senza ulteriori controlli.
[…] L'attaccante si sarebbe insidiato all'interno della Pec dell'Istituzione italiana attraverso un infostealer, ovvero un software in grado di infettare un Pc per recuperare informazioni che gli hacker possono sfruttare a proprio piacimento. Così facendo, gli hacker non avrebbero falsificato un messaggio, ma avrebbero preso il controllo di una casella vera. Ogni loro richiesta è partita davvero dall'indirizzo di un ufficio pubblico, con tutte le certificazioni in regola, e nessun controllo automatico poteva accorgersene.
LA VIOLAZIONE DEI DATI PERSONALI
Il materiale trasmesso è quello che un istituto finanziario raccoglie in fase di apertura del conto e conserva per obblighi antiriciclaggio. Secondo quanto riferito dal Financial Times e da Reuters, e in base al materiale pubblicato dagli stessi attaccanti, comprende dati anagrafici e professionali, indirizzi di residenza, recapiti telefonici ed e-mail, copie di passaporti e patenti, le fotografie inviate per la verifica facciale in fase di registrazione, coordinate bancarie, estratti conto, storico dei prelievi e cronologia delle transazioni, comprese quelle in Bitcoin.
Tra i clienti che hanno subito il data breach, anche nomi illustri, come il tennista Schevcenko e Mark Robert Karpelès, imprenditore francese ed ex Ceo della piattaforma di scambio di bitcoin Mt. Go. […]
Fin qui siamo nel territorio delle informazioni confermate. Nelle ultime ore, però, è emersa una seconda parte della storia, per il momento basata esclusivamente sulle dichiarazioni dell'attaccante, con il quale abbiamo preso contatto, e quindi da prendere con la necessaria cautela.
IL GRUPPO: COME AGISCE
Il gruppo, che si presenta con lo pseudonimo iamnotavillain, sostiene di essere rimasto a lungo all'interno dei sistemi delle forze dell'ordine italiane: «Abbiamo registrato oltre 87 mila file, per un valore di 147 GB di documenti, e-mail, file personali».
Alla richiesta di indicare quali strutture siano state colpite, la risposta è stata negativa: «Non possiamo rivelare quale dipartimento sia stato violato per arrivare a Revolut (ma al Corriere risulta appunto che sia la polizia postale), ma possiamo dire che nell'attacco in Italia sono stati coinvolti molti dipartimenti».
Sollecitati sull'adeguatezza delle difese informatiche delle forze di polizia italiane, hanno risposto che andrebbero profondamente riviste: «Conosciamo diverse persone che hanno ottenuto molto facilmente l'accesso alle e-mail delle forze dell'ordine italiane; ogni casella, se attiva, può contenere decine di gigabyte di messaggi, ciascuno con documenti allegati». Un account di intelligence informale, International Cyber Digest, ha riferito che l'operazione sarebbe durata circa sei mesi e avrebbe coinvolto più sistemi delle forze dell'ordine.
IL MATERIALE PRESUMIBILMENTE SOTTRATTO ALLE FORZE DELL'ORDINE
[…] Il Financial Times riporta che gli hacker minacciano di voler rendere pubbliche le informazioni rubate se Revolut non pagherà il riscatto, ma su questo aspetto c'è ancora poca chiarezza. L'azione portata avanti dagli attaccanti sembra più una «sorta di denuncia» nel modo di gestire la piattaforma.
Gli hacker hanno risposto così: «Siamo solo all’inizio. Siamo contrari alle ingiuste normative KYC (Know Your Customer), che Revolut stava applicando. Abbiamo anche scoperto che stavano inviando dati al di fuori della loro giurisdizione, il che costituisce una chiara violazione delle leggi internazionali sui dati».
COSA SONO I «KYC»
KYC ovvero Know Your Customer (conosci il tuo cliente) è un sistema attraverso il quale chi eroga un servizio come ad esempio una banca, deve obbligatoriamente verificare l'identità di un utente. Come ad esempio un selfie, un documento e così via.
Per quanto riguarda l'affermazione degli hacker, è bene precisare che non trova riscontro nella nformativa sulla policy per i clienti svizzeri di Revolut. La stessa prevede infatti che i dati possano essere condivisi con le autorità governative o le forze dell’ordine per ragioni legali, indagini o antifrode e contempla anche trasferimenti al di fuori della Svizzera e dello Spazio economico europeo per adempiere a obblighi legali e normativi.
Tuttavia, nel presunto materiale attribuito a Revolut condiviso dal gruppo hacker, compare una comunicazione di cui l'autenticità non è stata confermata. La società avrebbe infatti chiesto all'interlocutore, di distruggere tutta la documentazione trasmessa relativa a quattro clienti. Questo perché i conti erano soggetti a una diversa giurisdizione e che, per i vincoli legati al segreto bancario, quelle informazioni non avrebbero dovuto essere fornite.
Tra i file mostrati a chi scrive compaiono migliaia di messaggi in formato .eml, alcuni dei quali presentano denominazioni caratteristiche delle comunicazioni giudiziarie italiane. Nei nomi dei file ricorrono sigle come RGPM-NT e RGGIP-NT, accompagnate dal numero e dall'anno del procedimento, oltre a riferimenti a procedimenti penali, pubblici ministeri e al cosiddetto «mod. 44», il registro utilizzato per le notizie di reato contro ignoti.
Abbiamo confrontato queste nomenclature con documentazione pubblicamente disponibile: la struttura dei codici corrisponde a quella utilizzata dagli uffici giudiziari italiani. Altri campioni mostrano indirizzi appartenenti a domini istituzionali della Polizia di Stato e dell'amministrazione giudiziaria; diversi indirizzi verificati trovano corrispondenza nei recapiti pubblicati dalle stesse amministrazioni. Abbiamo contattato le forze di polizia e le istituzioni coinvolte, che abbiamo contattato per un commento. […]
