Il mondo FQ

Caso Revolut, ecco come gli hacker ingannano banche e istituzioni: “L’Italia è un colabrodo”

L'esperto informatico Mavilla: "Da noi i malintenzionati hanno vita facile se le istutuzioni continuano ad affidare i domini internet a privati e non ne nascondono i parametri. Avevo lanciato l'allarme ma non mi hanno ascoltato"
Caso Revolut, ecco come gli hacker ingannano banche e istituzioni: “L’Italia è un colabrodo”
Icona dei commenti Commenti

“Se affidi i domini internet di enti e istituzioni pubbliche a società private e non ne nascondi i parametri, come avviene in Italia, è più facile che un malintenzionato cloni una mail per ingannare banche come Revolut, o peggio”.

A raccontarlo è Andrea Mavilla, l’esperto informatico che già dall’anno scorso ha denunciato l’esistenza di una vulnerabilità con gli account di posta elettronica delle principali amministrazioni pubbliche italiane. Vulnerabilità tornate di attualità dopo la denuncia della banca digitale inglese, Revolut, sul raggiro di cui è stata vittima nelle scorse settimane. Fino a inviare dati riservati di quasi 700 dei suoi clienti a un gruppo di hacker che si fa chiamare “iamnotavillain”.

“Io li avevo avvisati ma non mi hanno ascoltato. Ora ti faccio vedere”. Mentre parliamo a chi scrive arriva una mail da un indirizzo dipps168.00f0@pecps.poliziadistato.it con l’intestazione “Polizia di Stato – Sezione anticrimine”.

“Questa è esattamente la pec che è stata utilizzata per prelevare i dati da Revolut”. Spiega Mavilla. E in effetti in rete risulta essere l’indirizzo ufficiale di posta elettronica certificata della Questura di Reggio Calabria.

Arriva un’altra mail da “Senato Della Repubblica Italiana”, indirizzo “amministrazione@pec.senato.it”, con oggetto “intervista rinviata”. Poi un’altra dal ministro della Difesa “Guido Crosetto”, indirizzo “guido.crosetto@difesa.it”, con oggetto “attacco nucleare in corso”. E un’altra ancora dal procuratore di Napoli Nicola Gratteri, indirizzo “nicola.gratteri@giustizia.it”, con oggetto “interrogatorio per intervista a Ranucci”.

A inviarle è sempre lui, Mavilla, per dimostrare i rischi collegati alle vulnerabilità di questi indirizzi di posta elettronica. Rischi che vanno ben oltre il trafugamento di dati riservati.

“Quello che ho fatto si chiama in gergo informatico spoofing, che significa falsificare l’identità del mittente di una comunicazione. Ma potrebbe farlo chiunque, è di una facilità estrema. All’estero però è molto più difficile. Il governo americano non si affiderebbe mai a una società privata per gestire i suoi propri domini. Ha i suoi server, le sue strutture informatiche. Inoltre i dati, parametri dei domini dei siti internet sono protetti. Non possono essere letti e copiati con un’applicazione gratuita in rete. Lo spoofing perfetto è impossibile senza replicare questi dati, anche i provider di posta elettronica meno attrezzati individuerebbero facilmente le anomalie e segnalerebbero che il mittente di questo messaggio in entrate non è attendibile”.

Mavilla va anche oltre lo spoofing, per segnalare i rischi informatici a cui sono esposte le istituzioni italiane.

“Basta un’applicazione gratuita in rete – sottolinea – per scoprire che il sito internet del Sistema di informazione per la sicurezza della Repubblica, i servizi segreti italiani, è stato registrato da una società privata. Ma in rete ci sono piattaforme che offrono dati riservati dei dipendenti di questa società, che hanno accesso per motivi di lavoro alle informazioni inserite nei sistemi informatici dei servizi segreti. Una manna per i malintenzionati”.

Gentile lettore, la pubblicazione dei commenti è sospesa dalle 20 alle 9, i commenti per ogni articolo saranno chiusi dopo 72 ore, il massimo di caratteri consentito per ogni messaggio è di 1.500 e ogni utente può postare al massimo 150 commenti alla settimana. Abbiamo deciso di impostare questi limiti per migliorare la qualità del dibattito. È necessario attenersi Termini e Condizioni di utilizzo del sito (in particolare punti 3 e 5): evitare gli insulti, le accuse senza fondamento e mantenersi in tema con la discussione. I commenti saranno pubblicati dopo essere stati letti e approvati, ad eccezione di quelli pubblicati dagli utenti in white list (vedere il punto 3 della nostra policy). Infine non è consentito accedere al servizio tramite account multipli. Vi preghiamo di segnalare eventuali problemi tecnici al nostro supporto tecnico La Redazione