Oltre alle autorità inglesi, sul caso indaga anche la Polizia postale per accesso abusivo a sistema informatico e frode informatica
Un tempo si pensava che ricevere una mail da una casella di posta PEC desse la certezza di non essere vittima di una truffa, di phishing, whaling, clone phishing, hijacking o di ransomware, ora purtroppo non è più così… anche le caselle di Posta Elettronica Certificata, le PEC appunto, non sono indenni a questi tipi di attacchi.
L’unica cosa che garantiscono, nel bene o nel male, sono:
- il Valore legale: Quando invii un messaggio, ricevi una ricevuta di avvenuta spedizione e di avvenuta (o mancata) consegna con data e ora certificate dal gestore
- la Ricezione: Un messaggio inviato a una PEC si considera legalmente consegnato anche se il destinatario non apre la casella.
Infine è obbligatoria per aziende, ditte individuali e professionisti iscritti a un ordine. È utile anche per i privati per comunicare con la Pubblica Amministrazione, banche o datori di lavoro.
Ed è proprio questa ultima affermazione che ha permesso ad un gruppo di hacker di truffare la banca inglese Revolut, servendosi di una mail compromessa di una istituzione italiana: la prefettura di Reggio Calabria.
Da quanto si è appreso gli hacker utilizzando in più riprese e per circa 5 mesi il servizio PEC della prefettura e firmando le mail “Polizia Postale”, sarebbero riusciti ad ottenere dalla banca i dati sensibili quali passaporto, carta d’identità, numero di conti bancari, operazioni con i Bitcoin, ecc., di circa 680 correntisti (stima il Financial Times).
Dal canto suo la banca fintech minimizza: «i sistemi di Revolut e i fondi dei clienti non sono stati toccati», ma il caso ha comunque suscitato preoccupazione, infatti gli istituti finanziari sono tenuti per legge a ottemperare alle richieste ufficiali provenienti dalle forze dell’ordine o dalle agenzie governative; ciò significa che le comunicazioni provenienti da indirizzi appartenenti a domini governativi verificati vengono trattate come richieste legali vincolanti.
Ma, una domanda sorge spontanea, qualcuno direbbe, non è venuto in mente a nessuno di verificare come mai tutte quelle richieste e perché inviate dalla prefettura visto che la polizia postale ha una sua PEC e soprattutto non era allegato nessun documento dell’autorità giudiziaria che ne avrebbe potuto sostenere l’attendibilità.
Revolut ha parlato di una «sofisticata truffa di impersonificazione esterna, nella quale un soggetto terzo non autorizzato ha utilizzato un indirizzo e-mail appartenente a un dominio legittimo di un’agenzia governativa per presentare richieste fraudolente di informazioni. Non appena individuata la frode – ha sottolineato – abbiamo immediatamente bloccato l’indirizzo e informato l’agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle dell’accaduto e fornire loro assistenza».
Il dato più sconcertante è che la PEC della Prefettura di Reggio Calabria potrebbe essere stata compromessa e allora quanto sono sicure tutte le caselle di posa elettronica delle istituzioni italiane?
