Il caso spiega meglio di qualsiasi corso perché la sicurezza informatica si rompe quasi sempre sulla fiducia.
Per mesi dei criminali informatici hanno chiesto a Revolut, la banca digitale con milioni di clienti in Europa, i dati riservati di centinaia di correntisti.
E Revolut glieli ha consegnati. Fine.
Documenti d’identità, passaporti, informazioni sui conti, operazioni in criptovalute: 680 persone, otto delle quali italiane. Nessun attacco ai sistemi della banca.
Le richieste arrivavano da un indirizzo di posta certificata vero, quello della Prefettura di Reggio Calabria, finito nelle mani sbagliate.
Una commedia in più atti. Le richieste erano firmate “Polizia postale”, che però ha i suoi canali ufficiali e non scrive dalle caselle delle prefetture.
Mancava il decreto dell’autorità giudiziaria che di norma accompagna richieste di questo tipo.
Eppure lo scambio è andato avanti per circa cinque mesi. A un certo punto la banca ha perfino spiegato ai truffatori come correggere l’intestazione della richiesta per compilarla bene. In un’altra email si è scusata per il ritardo nell’invio dei dati. E a luglio ha mandato tutto, con la password per aprire i file spedita in un’email separata.
Allo stesso indirizzo.
Il finale non fa ridere.
Il gruppo che rivendica l’attacco ha chiesto alla banca un riscatto di tre milioni di dollari in criptovaluta, pena la vendita dei dati. Indagano la Procura di Reggio Calabria e la Polizia postale, il Garante della privacy ha avviato verifiche sulle banche italiane. Revolut parla di una “sofisticata truffa di impersonificazione”.
Sofisticata fino a un certo punto: nessuno ha forzato una porta. Qualcuno l’ha aperta, perché chi bussava aveva il timbro giusto.
Le cose che a San Marino diamo per scontate
La tentazione, sotto l’ombrellone, è pensare che sia una storia di banche lontane.
Invece contiene quasi tutti gli errori che commettiamo ogni giorno, anche qui.
“Se viene da un indirizzo ufficiale, è vero.”
È il cuore del caso Revolut. Un indirizzo istituzionale, una PEC, il logo dell’ente, la firma di un funzionario: tutto questo dice da dove arriva un messaggio, non chi lo ha scritto. Le caselle si rubano, e una casella rubata è la più credibile di tutte.
La regola è una: se una richiesta è insolita, si verifica con una telefonata a un numero che conoscete già, non a quello scritto nell’email.
“Ci conosciamo tutti.”
È la forza di San Marino e anche la sua debolezza digitale.
Un messaggio che sembra del commercialista, del cugino in banca o dell’ufficio pubblico viene preso per buono senza pensarci. I truffatori lo sanno, e in un Paese piccolo imitare qualcuno di familiare è più facile, non più difficile.
“Chi vuoi che attacchi noi?”
Nessuno sceglie San Marino sulla cartina. I criminali provano migliaia di indirizzi e password a caso, e si fermano dove la porta cede. Non serve essere un bersaglio importante, basta essere un bersaglio facile.
“La password la mando a parte, così è sicuro.” È esattamente quello che ha fatto Revolut. Mandare la password in una seconda email allo stesso destinatario non protegge niente: se la casella è nelle mani sbagliate, arriva nelle mani sbagliate anche la password. Se proprio va comunicata, va detta per telefono o con un altro canale.
“Uso la stessa password da anni, me la ricordo.”
Quando un sito qualsiasi subisce un furto di dati, le password rubate vengono provate automaticamente ovunque: posta, banca, gestionale aziendale.
Una password riciclata trasforma il problema di un sito lontano nel vostro. Password diverse per ogni servizio, un gestore di password per ricordarle e, soprattutto, la verifica in due passaggi con il codice sul telefono: da sola ferma la grande maggioranza di questi furti.
La lezione dell’estate
Il caso Revolut non insegna che la tecnologia è fragile.
Insegna che la sicurezza si rompe quasi sempre nel punto in cui una persona si fida senza verificare. Una banca con migliaia di dipendenti e sistemi avanzati è caduta su un’email scritta bene.
Un’azienda da venti persone, o una famiglia, cade per molto meno.
La buona notizia è che le difese più efficaci non costano niente: una telefonata in più, una password diversa, un codice sul telefono.
E un po’ di sana diffidenza sammarinese, che di solito teniamo per i vicini e che conviene riservare anche alla posta in arrivo.
