Revolut e i dati consegnati al crimine: la cybersecurity non basta

Una tecnica antica contro sistemi sofisticati. La vicenda che in queste ore sta coinvolgendo Revolut racconta un incredibile paradosso. Il crimine non ha osato violare i sistemi informati della banca ma li ha astutamente aggirati con una tecnica antica. Ha chiesto semplicemente i dati e come se avesse il diritto di chiederli li ha ottenuti. Una casella e-mail appartenente a un ente italiano sarebbe stata manipolata per formulare, senza destare sospetti, richieste di informazioni sui clienti. La banca ha eseguito come si trattasse di un adempimento istituzionale dovuto. Solo successivamente l’istituto bancario avrebbe effettuato una verifica diretta, scoprendo che quelle richieste erano del tutto illegittime e provenienti dalle astute menti del crimine. La polizia postale è ora chiamata ad indagare su una ipotesi di accesso abusivo a sistema informatico e frode informatica, ma da quanto risulta Revolut ha negato che i propri sistemi informatici siano stati colpiti da un attacco criminale. Questo è il dato più sconcertante che rende il caso di particolare rilievo giuridico anche oltre la stessa cronaca. Quando pensiamo alla difesa di un sistema di dati, immaginiamo il possibile attacco di un hacker che scavalca una barriera informatica. Ma la sicurezza contemporanea non è solo cybersicurezza e il caso Revolut ci insegna che la realtà può essere ancora più complessa. Un sistema può essere tecnicamente infallibile; eppure, può diventare ugualmente vulnerabile perché può erroneamente consegnare le proprie informazioni nelle mani sbagliate. L'articolo 5 del Regolamento europeo impone che i dati siano trattati garantendo un'adeguata sicurezza, compresa la protezione contro trattamenti non autorizzati o illeciti. L'articolo 32 richiede misure tecniche e organizzative adeguate al rischio. Il riferimento alla sicurezza informatica è solo parte delle misure di sicurezza dei dati perché la legge impone anche misure tecniche ed organizzative che sono decisive per garantire una sicurezza come misura più ampia e completa. Forse negli ultimi anni ci siamo concentrati un po' troppo su firewall, password, crittografia e sistemi di autenticazione dimenticando che il nemico è in grado di renderci vulnerabili con tecniche più semplici e anche più banali. Cosa si è fatto per stabilire e verificare che chi chiede un dato abbia realmente titolo per ottenerlo? Del caso Revolut non sappiamo ancora se queste misure fossero realmente adottate o fossero sufficienti per scongiurare una fuga di dati che, sulla base delle prime informazioni, sembra riguardare quasi settecento nominativi di clienti. Una mole così importante di dati non è un fatto banale. Anzi si tratta di una violazione del sistema di trattamento e di tutela dei dati personali di estrema gravità. Saranno ovviamente le autorità di polizia ad istruire i fatti e a stabilire le esatte responsabilità Nel frattempo, la domanda che ci poniamo è molto semplice. Può realmente rassicurarci l'apparente autenticità del canale dal quale proviene una richiesta di informazioni? Può sembrare sin troppo semplice, ma la nuova frontiera della sicurezza è proprio verificare “chi chiede” soprattutto in settori sensibili quali quello finanziario o sanitario. Dal mese di gennaio 2025 è in vigore nell’Unione europea il regolamento DORA sulla resilienza operativa digitale del settore finanziario che prevede una logica di sicurezza molto chiara: il rischio informatico deve essere governato attraverso procedure capaci di proteggere disponibilità, autenticità, integrità e riservatezza dei dati. E la vicenda Revolut conferma l’attualità di questo principio, perché quello che appare non è sempre reale soprattutto quando un indirizzo può essere autentico ma è un criminale chi lo utilizza in un dato momento. Non può bastare autenticare uno strumento, occorre un sistema di tracciamento e disvelamento del soggetto che lo utilizza e dei relativi poteri che lo autorizzano. C'è poi un altro aspetto del problema. Forse quello più delicato. Una password può essere sostituita. Una carta di credito può essere bloccata. Ma un documento d'identità, un volto, un indirizzo, una storia finanziaria appartengono alla persona in maniera molto più persistente. Ed è per questo che la loro diffusione non autorizzata può avere conseguenze molto gravi: furti d'identità, phishing personalizzato, social engineering, frodi e tentativi di impersonificazione. Il GDPR considera violazione dei dati personali anche la loro divulgazione o il loro accesso non autorizzati e prevede in alcuni casi il diritto al risarcimento del danno materiale o immateriale provocato da una violazione del Regolamento. Sanzioni e responsabilità a parte, la lezione del caso Revolut è un’altra. Abbiamo costruito barriere sofisticate ma una porta digitale perfettamente sicura diventa del tutto inutile se non sappiamo riconoscere chi sta bussando. E forse questa vicenda dovrebbe aprire l’attenzione anche su un tema di apparente minore impatto. Riceviamo decine di telefonate ogni giorno da soggetti che stranamente sanno quasi tutto della nostra vita e che fanno domande ossessive sul nostro contratto telefonico o sulla nostra rete elettrica. Anche in questo caso, a proposito del caso Revolut, è un nemico insidioso da sconfiggere. Nel frattempo, possiamo solo attendere che il legislatore intervenga con risolutezza contro crimini quotidiani che ogni giorno, ancora una volta, riguardano la gente comune.

Cosa vedere:

Come vederlo:

Online con Sky:

Revolut e i dati consegnati al crimine: la cybersecurity non basta

Giovanni Reho