La Procura della Repubblica di Reggio Calabria ha aperto un’inchiesta sulla richiesta fraudolenta con cui dati riservati di clienti Revolut sono stati ottenuti attraverso una casella istituzionale italiana. Il fascicolo ipotizza l’intrusione in un sistema informatico di pubblico interesse; sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo.
Nella serata del 16 settembre il gruppo che rivendica l’operazione ha chiesto a Revolut 3 milioni di dollari e minacciato di vendere le informazioni se non riceverà il pagamento entro 24 ore.
L’apertura dell’inchiesta e il coinvolgimento della Dna sono elementi investigativi riferiti da ANSA sulla base di quanto appreso dagli inquirenti. Non risulta ancora pubblicato un comunicato della Procura o della Direzione nazionale. Gli investigatori devono inoltre stabilire se la posta elettronica certificata della Prefettura di Reggio Calabria sia stata violata direttamente oppure clonata: l’origine tecnica dell’attacco non è quindi accertata.
Secondo il Financial Times, gli account Revolut interessati sarebbero 680. La testata riferisce che gli autori hanno pubblicato un conto alla rovescia e fornito schermate oscurate e un video con documenti attribuiti ai clienti.
Reuters ha confermato l’esistenza della richiesta da 3 milioni di dollari riportando il nuovo resoconto del quotidiano britannico. Revolut non aveva commentato pubblicamente l’ultimatum al momento di questo aggiornamento.
La richiesta di riscatto non dimostra da sola che gli autori possiedano tutto il materiale dichiarato. Il gruppo, che usa il nome “iamnotavillain”, sostiene anche di avere 147 gigabyte di dati interni delle forze dell’ordine italiane. Questa affermazione resta una rivendicazione degli hacker.
La prima informativa della Polizia postale descrive l’operazione come molto sofisticata, ma gli investigatori stanno ancora analizzando il materiale e monitorando il dark web per accertare se dati rubati vengano messi in vendita.
Il reato ipotizzato dalla Procura è quello previsto dall’articolo 615-ter, terzo comma, del codice penale, relativo all’accesso abusivo a un sistema informatico o telematico di interesse pubblico. L’iscrizione dell’ipotesi di reato consente gli accertamenti e non identifica automaticamente i responsabili né prova tutte le modalità rivendicate.
Revolut aveva già confermato di avere trasmesso informazioni sensibili in risposta a richieste fraudolente che sembravano provenire da un dominio governativo legittimo. La società ha precisato che i propri sistemi informatici e i fondi dei clienti non sono stati violati. Ha inoltre dichiarato di avere bloccato l’indirizzo, avvisato le persone interessate e informato autorità e regolatori.
I dati esposti possono includere documenti d’identità, indirizzi, recapiti, numeri di conto ed estratti delle operazioni, secondo le notifiche esaminate da Reuters, Financial Times e TechCrunch. L’esatta combinazione cambia da cliente a cliente e non va attribuita indistintamente a tutti i profili coinvolti. Il numero di 680 deriva dal Financial Times e non da un dato diffuso direttamente da Revolut.
Gli autori sostengono di essersi finti appartenenti alle forze dell’ordine per settimane, chiedendo soprattutto informazioni su clienti con patrimoni in criptovalute. Anche durata, selezione degli obiettivi e quantità complessiva di dati devono però essere verificate. Le fonti disponibili indicano che molti clienti interessati risiedono in Svizzera e Francia; non è noto quanti siano italiani.
Per gli utenti la comunicazione decisiva resta quella ricevuta direttamente da Revolut. Le informazioni pubbliche non sostengono una violazione generalizzata di tutti i conti né un accesso al denaro depositato. Chi riceve un avviso dovrebbe diffidare da contatti successivi che chiedano credenziali, codici o trasferimenti: i dati sottratti possono rendere più credibili tentativi mirati di frode e furto d’identità.
Il punto centrale dell’indagine italiana è ora doppio: ricostruire come sia stata usata la casella istituzionale e verificare l’effettivo perimetro del materiale che gli hacker affermano di possedere. Fino agli esiti forensi, il riscatto e l’ultimatum sono fatti documentati come richieste del gruppo, mentre i 147 gigabyte di dati delle forze dell’ordine restano non accertati.