Il ministro dell’Interno Matteo Piantedosi ha chiamato in causa direttamente Revolut per i dati di 680 clienti finiti a un gruppo criminale, sostenendo davanti alla Camera che la fintech britannica avrebbe dovuto controllare la richiesta ricevuta.
Durante il question time il titolare del Viminale ha ricostruito la provenienza di quella domanda di informazioni, arrivata da una casella di posta elettronica certificata chiamata «entilocali». La casella è riconducibile alla Prefettura di Reggio Calabria, ma dalle verifiche risulta che l’ufficio non l’ha mai utilizzata. Secondo Piantedosi la società avrebbe potuto accorgersi dell’anomalia con un minimo di diligenza, considerando la scarsa coerenza tra i dati richiesti e l’ente che sembrava domandarli, oltre alla quantità e alla natura delle informazioni pretese. Il ministro ha aggiunto che sulla vicenda sono in corso approfondimenti giudiziari e controlli affidati alle strutture di sicurezza cibernetica del ministero, per ora coperti dal più stretto riserbo investigativo.
Come è partita la richiesta di dati a Revolut
La cronologia esposta in aula comincia il 12 settembre, quando l’Agenzia per la Cybersicurezza Nazionale ha ricevuto da Revolut la notifica di un possibile incidente informatico. Tre giorni più tardi la società ha confermato l’accaduto, spiegando di aver trasmesso i dati di 680 clienti a un indirizzo Pec attribuibile alla Prefettura reggina e di aver già avvisato le persone coinvolte. In una precedente risposta parlamentare la sottosegretaria Wanda Ferro aveva precisato che i clienti italiani interessati sono otto, mentre la maggior parte dei profili riguarda correntisti residenti in altri Paesi europei. Le richieste portavano la firma della Polizia Postale e si sono susseguite per diversi mesi, con un tono e un formato tali da sembrare comunicazioni ufficiali.
In questo modo sono usciti dagli archivi della banca documenti d’identità, fotografie usate per la verifica dei clienti, Iban, estratti conto e cronologie delle operazioni, con un’attenzione particolare, secondo il Financial Times, verso chi possiede grandi patrimoni in criptovalute.
Un gruppo che si fa chiamare «IAmNotAVillain» ha poi reso pubblica una richiesta di riscatto da circa 3 milioni di dollari, minacciando di vendere i dati ad altre organizzazioni criminali. Revolut ha dichiarato di non aver ricevuto alcuna domanda diretta e ha ribadito che i propri sistemi e i fondi dei clienti sono rimasti intatti. Lo stesso gruppo sostiene anche di possedere 147 gigabyte di materiale interno delle forze di polizia italiane, un’affermazione che nessuna autorità ha confermato.
Le indagini della Procura di Reggio Calabria e del Viminale
Sul fronte operativo l’Acn mantiene un canale aperto con Revolut e collabora con il ministero dell’Interno per contenere la minaccia, mentre della vicenda sono state informate la Polizia Postale e la Direzione nazionale antimafia e antiterrorismo. Il Centro operativo per la sicurezza cibernetica della Polizia di Stato ha trasmesso un’informativa alla Procura di Reggio Calabria, che ha avviato le indagini. All’interno del Viminale il Servizio per la sicurezza cibernetica sta cercando le cause dell’accaduto per mettere in sicurezza i sistemi informatici. Il ministro ha inoltre convocato il Comitato Analisi per la Sicurezza Cibernetica, dove siedono le strutture competenti dei diversi Dipartimenti, con il compito di individuare le soluzioni tecniche migliori disponibili nell’attuale contratto Consip per la fornitura delle caselle Pec. Piantedosi ha lasciato aperta anche l’ipotesi di contestare al fornitore eventuali violazioni contrattuali legate al disservizio, con l’applicazione delle sanzioni previste.
Nel suo intervento il ministro ha taciuto sulle modalità con cui gli autori dell’attacco avrebbero preso il controllo della casella e sui 147 gigabyte rivendicati dagli hacker, due aspetti che l’interrogante ha richiamato nella replica.
