Caso Revolut e l'illusione dell'attacco sofisticato

Perché mentre il mondo teme l'IA, in Italia, le aziende (e la PA) cadono sulle PEC. Parla Gerardo Costabile

Il recente data breach che ha coinvolto Revolut è il manifesto di un abisso tra percezione e realtà. Una delle fintech più avanzate al mondo ha trasmesso a soggetti non autorizzati i dati altamente riservati di propri clienti, tra cui documenti d'identità, estratti conto e transazioni, a fronte di una finta richiesta governativa ricevuta via PEC (Posta Elettronica Certificata).

Ma la gravità dell'episodio sta in un dettaglio tecnico decisivo: non si è trattato di phishing. Non c'era un dominio falsificato, non c'erano link sospetti o inganni di typosquatting. La richiesta è arrivata da un account PEC del tutto legittimo e autentico di un'autorità pubblica, le cui credenziali erano state precedentemente compromesse dagli attaccanti.

Dal punto di vista dei filtri di sicurezza informatica, il messaggio era perfetto: certificati validi, autenticazione riuscita e busta digitale originale. È qui che il sistema crolla. La PEC soffre di un equivoco letale: confonde l'autenticità del canale con la legittimità dell'azione. Garantisce l'integrità della busta digitale e l'indirizzo di invio, ma non può garantire l'identità di chi siede alla tastiera in quel momento. La PEC induce quella "fiducia cieca" che l'architettura moderna di sicurezza, basata sul principio dello Zero Trust ("non fidarti di nessuno, verifica sempre"), cerca faticosamente di sradicare.

L'allarme di CERT-AgID e ACN: i numeri di un rischio sistemico

Che l'uso di caselle PEC legittime compromesse sia diventato l'arma preferita dal cybercrime lo confermano i dati ufficiali. Il CERT-AgID (Agenzia per l'Italia Digitale) ha registrato un incremento dell'80% nell'uso della PEC per veicolare attacchi, gestendo centinaia di eventi critici all'anno.

A chiudere il cerchio è l'Agenzia per la Cybersicurezza Nazionale (ACN). Tramite lo CSIRT Italia, l'ACN denuncia da tempo la proliferazione di attacchi condotti tramite il furto di credenziali di caselle PEC reali di professionisti e della Pubblica Amministrazione per inviare falsi ordini giudiziari. In questo scenario, la PA italiana veste il doppio ruolo di vittima incolpevole e di inconsapevole vettore di attacco: la compromissione di un singolo account istituzionale trasforma qualunque e-mail malevola in un'arma di ingegneria sociale a cui è quasi impossibile non credere.

L'Intelligenza Artificiale come capro espiatorio della narrativa

In questo contesto, purtroppo, il “teatro della sicurezza” fa comodo allo storytelling giornalistico. Etichettare un data breach come un "attacco cibernetico altamente sofisticato di ultimissima generazione" è, alla fine, un meccanismo di auto-assoluzione e sposta l'attenzione su minacce intangibili. 

Leggendo i giornali delle ultime settimane (anche quelli generalisti), uno degli argomenti tech più trattati è l'allarmismo sui rischi dell'IA sulle nostre vite. Un argomento serio che non va assolutamente sottovalutato, ma che oggi ci porta a fare un bagno di realismo. E’ difficile essere credibili, da addetti ai lavori, parlando di minacce futuristiche mentre dobbiamo allo stesso tempo commentare eventi come quello odierno. 

Oltre il dito: le contromisure necessarie

Finché la presenza di un timbro digitale o di un dominio ufficiale continuerà a sostituire la verifica procedurale, le violazioni non si fermeranno. Per uscirne servono due scelte di fondo. Da un lato, declassare la PEC per i dati confidenziali e sensibili: le informazioni critiche non devono mai viaggiare via e-mail, nemmeno se certificata. Le istituzioni devono imporre l'uso esclusivo di portali dedicati con autenticazione forte (SPID/CIE e 2FA). Dall’altro, è necessaria una verifica Out-of-Band obbligatoria: applicare le direttive ACN rendendo procedurale l'obbligo di confermare ogni richiesta di dati personali o bancari su un canale indipendente (es. contatto telefonico pre-verificato con l'ente mittente) prima di procedere all'invio dei file.

È arrivata l’ora di smettere di guardare il dito e iniziare a fissare la luna dei nostri processi interni. La sicurezza informatica reale non si fa combattendo i cyborg, ma applicando la noiosa, rigida e fondamentale banalità dei controlli di processo.