L’esfiltrazione dei dati riservati dei clienti di Revolut (e probabilmente anche delle Forze dell’Ordine), volontariamente consegnati ai malviventi che si sono spacciati per un’autorità pubblica italiana, evidenzia un punto cieco sistemico: la sovrapposizione errata tra la validità formale di un canale di trasmissione e la certezza dell’identità dell’interlocutore.

L’illusione del timbro digitale e il bias di delega tecnologica

Come analizzato da Andrea Monti nel suo articolo “Il caso Revolut e l’inutile cybersecurity di carta“, la banca non si configura come una vittima accidentale, bensì come il soggetto responsabile di una grave carenza nelle procedure organizzative e di controllo dell’operatività.

Come spesso succede, l’attacco non ha scardinato un algoritmo crittografico né ha superato uno stack di sicurezza da centinaia di migliaia di euro (che sicuramente è presente in Revolut).

La compromissione si è svolta lungo una direttrice puramente procedurale e cognitiva. Gli attaccanti hanno ottenuto il controllo di una casella di posta elettronica certificata (PEC) di un ente pubblico e hanno inviato una richiesta formale di acquisizione dei dati. Gli operatori dell’istituto finanziario hanno elaborato la richiesta, fornendo le informazioni, senza effettuare controlli di riscontro né verificare l’autenticità del documento allegato: è un classico caso di bias di delega tecnologica.

Il feticcio della PEC, la firma fantasma e il bias dell’autorità

Il crollo delle difese, in questo scenario, poggia su due equivoci fondamentali che caratterizzano la gestione documentale:

• L’asimmetria nella verifica della PEC: la posta elettronica certificata garantisce esclusivamente la certezza dell’invio e della consegna tra due caselle di posta, assimilando la spedizione a una raccomandata con ricevuta di ritorno. La PEC identifica l’account mittente, non la persona fisica che sta digitando alla tastiera, né tantomeno la legittimità della richiesta. Trattare una PEC come prova automatica di autenticità equivale a ritenere vera una lettera solo perché reca il timbro dell’ufficio postale.
• L’assenza di verifica della firma digitale sul PDF: un documento inserito in una PEC privo di firma digitale qualificata (P7M o CAdES/PAdES) è privo di valore legale vincolante e di integrità crittografica. Negli ambienti operativi, l’allegato PDF viene aperto e visualizzato come immagine. Raramente gli operatori eseguono l’estrazione del certificato della firma, la verifica della catena di fiducia (Chain of Trust) e il controllo delle liste di revoca (CRL).
• Bias dell’autorità (Authority Bias): di fronte a un’intestazione recante i fregi di un’autorità di polizia o giudiziaria, per giunta arrivato da un canale ufficiale, l’operatore applica una sottomissione gerarchica automatica. Il timore di rallentare un’indagine o di incorrere in sanzioni per mancata collaborazione azzera lo scetticismo investigativo.

Un caso per capire la dinamica

Per comprendere come l’attrito procedurale sia stato progressivamente eliminato a favore della velocità, occorre osservare la storia delle telecomunicazioni italiane, come riportata nel succitato articolo.

Negli anni ’90 e ’00, il provider italiano MC-Link adottò un protocollo rigido per la gestione dei rapporti con l’autorità giudiziaria. Ogni richiesta inviata tramite fax, posta ordinaria o tramite moduli privi di delega formale del magistrato veniva bloccata e rinviata al mittente con richiesta di regolarizzazione formale.

Questa linea di condotta generava forti attriti interni: il management aziendale considerava quella rigidità un costo superfluo, un rallentamento burocratico eccessivamente rigoroso, sul presupposto che «nessuno avrebbe mai contestato una richiesta formale della Polizia».

Il caso di Revolut dimostra la fallacia di questa impostazione commerciale. Gli attaccanti hanno strutturato l’azione basandosi sulla certezza che la banca avrebbe applicato la medesima superficialità gestionale:

1. Inoltro di una richiesta di dati da un indirizzo PEC compromesso.
2. Inserimento di un file PDF con grafiche istituzionali, ma privo di firma digitale, verificabile, remota o locale. I malfattori avranno pensato che, tanto, nessuno verifica, e hanno avuto ragione.
3. Assenza di qualsiasi contatto telefonico di riscontro (Out-Of-Band) di Revolut ai numeri ufficiali del centralino dell’ente richiedente. «Una telefonata ti allunga la vita», diceva un vecchio spot che adesso è tornato anche in TV.
4. Consegna immediata dei record informatici da parte degli operatori per “liquidare la pratica” nel minor tempo possibile.

Le implicazioni per il CISO: la fine della sicurezza formale

Per un CISO, il caso Revolut rappresenta la dimostrazione del fallimento della paper compliance (la sicurezza di carta). Certificazioni ISO/IEC 27001, audit formali e modelli organizzativi non offrono alcuna protezione se i processi operativi consentono di disattivare i controlli in presenza di un segnale di autorità.

Se l’organizzazione limita la sicurezza al mero rispetto burocratico dei requisiti, trasforma il processo in un costo passivo, azzerato alla prima pressione esterna. La gestione delle richieste di dati verso l’esterno richiede l’implementazione di blocchi tecnici rigidi che impediscano all’operatore di completare l’estrazione senza l’approvazione di controlli crittografici e procedurali indipendenti.

La prevenzione della fuga di dati guidata da comunicazioni istituzionali fraudolente richiede l’applicazione immediata di tre vincoli non eludibili:

• Protocollo Out-Of-Band (OOB) obbligatorio: qualsiasi richiesta di consegna dati provenienti da autorità o enti terzi pervenuta via PEC o e-mail deve attivare una procedura di riscontro fuori banda. L’operatore è tenuto a non utilizzare i recapiti presenti nel testo del messaggio o nell’allegato, e a contattare il centralino dell’organo richiedente tramite i numeri indicati sui portali istituzionali censiti.
• Validazione automatica delle firme digitali: i sistemi di posta in ingresso dedicati alla ricezione di atti giudiziari devono integrare moduli di validazione crittografica automatizzata. Un allegato PDF non firmato digitalmente con un certificato qualificato valido deve essere contrassegnato dal sistema come “documento privo di valore legale”, bloccando i moduli di esportazione dei dati.
• Principio dei 4EYES sull’esfiltrazione: nessun singolo operatore deve poter autorizzare il download o l’invio di dataset contenenti informazioni sui clienti. Ogni estrazione deve richiedere la doppia approvazione del dipartimento legale e della funzione di sicurezza.
• KPI comportamentale: l’indicatore per misurare la tenuta del processo è il tasso di convalidazioni Out-Of-Band misurato su richieste esterne ad alto rischio. Questo parametro indica la percentuale di pratiche giudiziarie o amministrative sottoposte a verifica telefonica indipendente prima dell’estrazione dei dati, misurando la resistenza dell’organizzazione alla pressione dell’Authority Bias.

Una proposta metodologica

Il Cybercognitivismo evidenzia come la deviazione dalle procedure non sia un incidente isolato, ma la conseguenza diretta di un’architettura di processo che premia la velocità a scapito della verifica.

Quando una struttura aziendale considera la compliance un mero adempimento di facciata, crea le condizioni ideali per l’ingegneria sociale di alto livello.

Ecco perché, in una corretta policy di Operational Security e protezione degli asset, occorre sempre sottolineare che i flussi di dati verso l’esterno devono essere controllati tramite controlli deterministici[1].

La certezza dell’identità del mittente non si presume sulla base dell’intestazione o del canale di trasporto, ma si costruisce esclusivamente attraverso la verifica crittografica della firma e la validazione Out-Of-Band delle credenziali dell’interlocutore.

[1] Per saperne di più su queste tematiche, puoi consultare la sezione dedicata all’Operational Security e alla protezione degli asset nel Manuale CISO Security Manager per la preparazione all’esame CISSP e per la pratica quotidiana.