In attesa delle indagini e di elementi ufficiali, la frode che ha subìto Revolut ha dimostrato che per compromettere un sistema non è, sempre, necessario violarne direttamente l’infrastruttura tecnologica.
Con l’attacco cyber contro Revolut tutto ormai sembrerebbe più chiaro. Per compromettere un sistema non è, sempre, necessario violarne direttamente l’infrastruttura tecnologica. A volte è sufficiente riuscire a convincere qualcuno che una richiesta provenga dall’interlocutore giusto. La violazione diventa quindi un problema di identità, fiducia e procedure, prima ancora che di tecnologia.
Alla base dell’illecito non c’è stata comunque alcuna intrusione nei sistemi della fintech, spiega il Corriere della Sera. “L’attacco avrebbe sfruttato una Pec compromessa della Prefettura di Reggio Calabria, utilizzata per inviare richieste apparentemente provenienti dalla Polizia postale e quindi trattate, almeno inizialmente, come normali adempimenti di legge”. Secondo la ricostruzione emersa finora, “la compromissione della casella sarebbe avvenuta attraverso un infostealer“.
Si tratta di un malware capace di sottrarre credenziali e consentire agli attaccanti di entrare in un account di posta. La tecnica è conosciuta anche come “Man in the Mail“.
Il livello di sofisticazione
Il dato confermato è che la multinazionale finanziaria è stata vittima di una sofisticata operazione di impersonificazione. Un soggetto non autorizzato ha utilizzato un indirizzo appartenente a un dominio governativo legittimo per inviare richieste fraudolente di informazioni sui clienti. Nello spiegare l’incidente, la fintech britannica ha confermato di aver successivamente bloccato l’indirizzo e informato autorità, forze dell’ordine e organismi di vigilanza.
Secondo le informazioni più recenti riportate dal Financial Times, circa 680 clienti sono stati notificati e i dati esposti comprenderebbero informazioni estremamente sensibili, tra cui documenti d’identità, dati bancari, indirizzi e altre informazioni finanziarie. L’Information Commissioner’s Office britannico ha inoltre aperto un’indagine. La stessa Revolut ha precisato che i propri sistemi e i fondi dei clienti non sono stati compromessi direttamente.
Dietro la dinamica dell’attacco
La dinamica è, particolarmente, significativa perché dimostra quanto possa essere potente un attacco basato sulla fiducia istituzionale. Un indirizzo proveniente da un dominio governativo possiede, infatti, un valore reputazionale che può superare quello di molti sistemi di autenticazione tradizionali. Se una richiesta arriva apparentemente da un’autorità, il destinatario può essere portato a considerarla legittima senza verificare adeguatamente chi si trovi realmente dietro quella comunicazione.
Il problema riguarda l’intero ecosistema formato da banche, fintech, piattaforme digitali, telecomunicazioni e autorità pubbliche, che ogni giorno scambiano enormi quantità di informazioni attraverso procedure di collaborazione istituzionale. Una richiesta apparentemente proveniente dalle forze dell’ordine può consentire di ottenere dati che normalmente sarebbero protetti da sistemi di sicurezza molto più complessi. L’attaccante, in questo scenario, non deve necessariamente “hackerare” il bersaglio: deve riuscire a diventare credibile per il bersaglio.
Non solo Revolut
L’account X International Cyber Digest ha riportato le dichiarazioni di un soggetto che sostiene di essere in contatto con gli autori dell’attacco. Secondo questa ricostruzione, i criminali non si sarebbero limitati a colpire Revolut.
Questa seconda parte, però, deve essere trattata con estrema cautela. Al momento si tratta di una rivendicazione attribuita agli attaccanti e non di un fatto verificato pubblicamente dalle autorità italiane. Non esistono ancora – almeno nelle fonti ufficiali disponibili – elementi sufficienti per affermare l’effettiva compromissione di enti governativi italiani. Né, che siano stati sottratti 147 GB di dati.
Il peso della corona istituzionale
Questo modello è particolarmente pericoloso perché sfrutta una delle superfici d’attacco più difficili da proteggere: quella procedurale. Le organizzazioni possono investire milioni nella protezione dei server, nella segmentazione delle reti, nella crittografia e nel monitoraggio degli endpoint, ma devono comunque permettere ai propri dipendenti di interagire con soggetti esterni. Ed è proprio in quella relazione che può insinuarsi l’attaccante.
La vicenda dimostra anche perché il semplice dato quantitativo sulla presunta sottrazione di 147 GB non sia sufficiente per valutare la gravità di una compromissione. Un volume enorme di dati non equivale automaticamente a un enorme valore operativo. Il vero valore dipende dalla natura delle informazioni, dalla loro struttura, dalla possibilità di collegarle ad altre banche dati e soprattutto dalla capacità di utilizzarle per ottenere accessi, impersonificare persone o costruire nuove operazioni di social engineering.
È evidente come un criminale che riesca a impossessarsi di un’identità credibile può attraversare sistemi che, tecnicamente, non è mai riuscito a violare. La vera superficie d’attacco diventa così la fiducia. Una fiducia costruita negli anni tra istituzioni pubbliche e aziende private, tra autorità investigative e piattaforme tecnologiche, tra mittente e destinatario di una comunicazione. Ed è proprio questa fiducia che il cybercrime sta imparando a trasformare in un ulteriore e pericolosissimo strumento offensivo.
