Revolut hackerato? Cosa è successo davvero e cosa ci insegna questo attacco
Quando si parla di cybersecurity, siamo abituati a immaginare un attacco informatico come qualcuno che riesce a superare una password, sfruttare una vulnerabilità o penetrare direttamente nei server di un’azienda.
Il caso Revolut racconta però una storia diversa.
La società ha confermato una violazione che ha coinvolto un numero limitato di clienti, ma secondo le informazioni emerse l’attacco non sarebbe avvenuto attraverso una semplice intrusione nei sistemi informatici. Al contrario, gli aggressori avrebbero sfruttato una tecnica molto più subdola: l’ingegneria sociale.
Non hanno semplicemente “bucato” Revolut
Il termine “Revolut hackerato” è sicuramente quello che ha attirato maggiormente l’attenzione, ma descrive solo in parte ciò che è successo.
Secondo quanto emerso, gli aggressori avrebbero impersonato un’autorità governativa, utilizzando richieste apparentemente legittime per ottenere informazioni sui clienti.
Il dettaglio particolarmente significativo è proprio questo: l’attacco ha sfruttato la fiducia nei processi e nell’identità del mittente, anziché limitarsi a cercare una vulnerabilità tecnica.
In altre parole, non è stato necessariamente necessario forzare una porta.
È bastato convincere qualcuno che quella porta dovesse essere aperta.
La tecnica: social engineering e impersonificazione
Il social engineering comprende tutte quelle tecniche attraverso cui un attaccante cerca di manipolare una persona o un’organizzazione per ottenere informazioni, accessi o autorizzazioni.
Nel caso di Revolut, il meccanismo sarebbe stato basato proprio sull’impersonificazione di un ente governativo.
Le richieste apparivano quindi sufficientemente credibili da essere trattate come comunicazioni ufficiali.
Questo tipo di attacco dimostra un problema fondamentale della sicurezza informatica: anche il sistema più protetto può essere messo in difficoltà se viene ingannata la persona che lo utilizza.
Quali dati sono stati coinvolti?
Le informazioni potenzialmente esposte riguarderebbero un numero limitato di clienti e, a seconda dei casi, potrebbero includere dati personali e informazioni utilizzate per la verifica dell’identità.
Tra i dati indicati nelle ricostruzioni dell’incidente ci sono:
È importante però distinguere la compromissione dei dati dalla compromissione dei fondi.
Non significa infatti che gli aggressori abbiano avuto automaticamente accesso ai conti correnti o abbiano potuto svuotare gli account dei clienti coinvolti.
Il problema principale riguarda l’esposizione di informazioni personali e finanziarie che potrebbero successivamente essere utilizzate per ulteriori tentativi di frode o di impersonificazione.
Perché questo attacco è particolarmente interessante?
Perché dimostra quanto sia cambiato il modo di concepire la cybersecurity.
Per anni la sicurezza informatica è stata associata soprattutto a firewall, antivirus, password, sistemi di autenticazione e protezione dei server.
Tutti strumenti fondamentali.
Ma oggi non basta più proteggere solamente la tecnologia.
Bisogna proteggere anche le procedure e le persone.
Un attaccante può infatti cercare di ottenere informazioni senza sfruttare una vulnerabilità software. Può cercare di convincere un dipendente a fornire un dato, aprire un allegato, modificare un’impostazione o autorizzare una richiesta.
Ed è proprio qui che entra in gioco il social engineering.
Una lezione che riguarda tutte le aziende
Il caso Revolut non dovrebbe interessare solamente chi utilizza servizi finanziari.
Lo stesso meccanismo può essere applicato a qualsiasi azienda.
Immaginiamo, per esempio, un dipendente che riceva una richiesta apparentemente proveniente dal proprio amministratore delegato:
“Ho bisogno urgentemente dell’elenco dei clienti. Mandamelo qui.”
Oppure una richiesta che sembra arrivare dalla banca, dal commercialista, da un fornitore o da un ente pubblico.
Se la richiesta sembra autentica, soprattutto quando arriva da un interlocutore apparentemente affidabile, è facile abbassare la guardia.
Ed è proprio questo che cerca l’attaccante.
La sicurezza non può dipendere solo dalla tecnologia
Il caso Revolut ci ricorda quindi una cosa fondamentale: la cybersecurity non è solamente una questione tecnologica.
Firewall e sistemi di sicurezza possono proteggere un’infrastruttura da numerosi attacchi, ma non possono sempre impedire a una persona di essere manipolata.
Per questo è importante affiancare alla protezione tecnica anche:
Una semplice telefonata al numero ufficiale dell’ente o dell’azienda coinvolta può, in molti casi, evitare un incidente.
Prima di fidarsi, bisogna verificare
Il messaggio più importante che arriva dal caso Revolut è forse proprio questo:
un’identità apparentemente legittima non è necessariamente un’identità autentica.
Un indirizzo email, un logo, una firma o una richiesta formulata in modo professionale possono essere sufficienti a creare un falso senso di sicurezza.
La domanda da porsi dovrebbe quindi essere sempre la stessa:
“Come posso verificare che questa richiesta sia realmente arrivata da chi dice di averla inviata?”
Perché nella cybersecurity, a volte, il problema non è riuscire a entrare in un sistema.
È riuscire a convincere qualcuno ad aprirti la porta.
La tecnologia protegge i sistemi. La formazione protegge le persone.
Contattaci per scoprire come rafforzare la sicurezza della tua azienda e preparare il tuo team a riconoscere le minacce prima che diventino un problema.