La frode che ha subìto Revolut ha dimostrato che per compromettere un sistema non è, sempre, necessario violarne direttamente l’infrastruttura tecnologica.

Con l’attacco cyber contro Revolut tutto ormai è più chiaro. Per compromettere un sistema non è, sempre, necessario violarne direttamente l’infrastruttura tecnologica. A volte è sufficiente riuscire a convincere qualcuno che una richiesta provenga dall’interlocutore giusto. La violazione diventa quindi un problema di identità, fiducia e procedure, prima ancora che di tecnologia.

Il dato confermato è che la multinazionale finanziaria è stata vittima di una sofisticata operazione di impersonificazione. Un soggetto non autorizzato ha utilizzato un indirizzo appartenente a un dominio governativo legittimo per inviare richieste fraudolente di informazioni sui clienti. La fintech britannica ha confermato l’incidente e ha spiegato di aver successivamente bloccato l’indirizzo e informato autorità, forze dell’ordine e organismi di vigilanza.

Secondo le informazioni più recenti riportate dal Financial Times, circa 680 clienti sono stati notificati e i dati esposti comprenderebbero informazioni estremamente sensibili, tra cui documenti d’identità, dati bancari, indirizzi e altre informazioni finanziarie. L’Information Commissioner’s Office britannico ha inoltre aperto un’indagine. Revolut ha precisato che i propri sistemi e i fondi dei clienti non sono stati compromessi direttamente.

Dietro la dinamica dell’attacco

La dinamica è, particolarmente, significativa perché dimostra quanto possa essere potente un attacco basato sulla fiducia istituzionale. Un indirizzo proveniente da un dominio governativo possiede, infatti, un valore reputazionale che può superare quello di molti sistemi di autenticazione tradizionali. Se una richiesta arriva apparentemente da un’autorità, il destinatario può essere portato a considerarla legittima senza verificare adeguatamente chi si trovi realmente dietro quella comunicazione.

Il problema riguarda l’intero ecosistema formato da banche, fintech, piattaforme digitali, telecomunicazioni e autorità pubbliche, che ogni giorno scambiano enormi quantità di informazioni attraverso procedure di collaborazione istituzionale. Una richiesta apparentemente proveniente dalle forze dell’ordine può consentire di ottenere dati che normalmente sarebbero protetti da sistemi di sicurezza molto più complessi. L’attaccante, in questo scenario, non deve necessariamente “hackerare” il bersaglio: deve riuscire a diventare credibile per il bersaglio.

Non solo Revolut

L’account X International Cyber Digest ha riportato le dichiarazioni di un soggetto che sostiene di essere in contatto con gli autori dell’attacco. Secondo questa ricostruzione, i criminali non si sarebbero limitati a colpire Revolut.

Questa seconda parte, però, deve essere trattata con estrema cautela. Al momento si tratta di una rivendicazione attribuita agli attaccanti e non di un fatto verificato pubblicamente dalle autorità italiane. Non esistono, nelle fonti ufficiali disponibili, elementi sufficienti per affermare che le forze dell’ordine italiane siano state effettivamente compromesse, né che siano stati sottratti 147 GB di dati.

Il peso della corona istituzionale

Questo modello è particolarmente pericoloso perché sfrutta una delle superfici d’attacco più difficili da proteggere: quella procedurale. Le organizzazioni possono investire milioni nella protezione dei server, nella segmentazione delle reti, nella crittografia e nel monitoraggio degli endpoint, ma devono comunque permettere ai propri dipendenti di interagire con soggetti esterni. Ed è proprio in quella relazione che può insinuarsi l’attaccante.

La vicenda dimostra anche perché il semplice dato quantitativo sulla presunta sottrazione di 147 GB non sia sufficiente per valutare la gravità di una compromissione. Un volume enorme di dati non equivale automaticamente a un enorme valore operativo. Il vero valore dipende dalla natura delle informazioni, dalla loro struttura, dalla possibilità di collegarle ad altre banche dati e soprattutto dalla capacità di utilizzarle per ottenere accessi, impersonificare persone o costruire nuove operazioni di social engineering.

È evidente come un criminale che riesca a impossessarsi di un’identità credibile può attraversare sistemi che, tecnicamente, non è mai riuscito a violare. La vera superficie d’attacco diventa così la fiducia. Una fiducia costruita negli anni tra istituzioni pubbliche e aziende private, tra autorità investigative e piattaforme tecnologiche, tra mittente e destinatario di una comunicazione. Ed è proprio questa fiducia che il cybercrime sta imparando a trasformare in un ulteriore e pericolosissimo strumento offensivo.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo Attacco cyber a Revolut: un problema di (vera) fiducia sembra essere il primo su CyberSecurity Italia.