L'attacco a Revolut mette in luce una falla inquietante nel sistema di protezione dei dati personali: una casella PEC istituzionale compromessa sarebbe stata utilizzata per ottenere informazioni riservate di centinaia di clienti. Un caso che riapre una domanda fondamentale: chi protegge i cittadini quando a fallire sono proprio i soggetti incaricati di custodire i loro dati?
L’ultimo clamoroso caso che coinvolge Revolut squarcia il velo sulla sicurezza informatica e pone una questione che non può essere liquidata con la consueta accusa al “cittadino distratto”.
Secondo le informazioni emerse, gli hacker sarebbero riusciti a compromettere una casella PEC istituzionale italiana, utilizzandola per fingersi autorità di polizia. Attraverso false richieste apparentemente ufficiali, avrebbero convinto Revolut a fornire informazioni riservate relative a circa 680 clienti.
Tra i dati acquisiti figurerebbero documenti d’identità, indirizzi, IBAN, selfie utilizzati per le procedure di verifica e informazioni relative alle transazioni. L’aspetto più inquietante è che, almeno secondo la ricostruzione finora emersa, non sarebbe stato necessario violare direttamente i sistemi bancari di Revolut: sarebbe bastato sfruttare un canale istituzionale considerato affidabile.
La vicenda è ora oggetto di un’indagine, mentre gli autori dell’attacco minacciano di diffondere ulteriori dati in loro possesso.
Ed è proprio qui che il problema diventa più ampio del singolo episodio.
I cittadini non hanno alcuna colpa se a tradirli sono i sistemi predisposti per proteggerli. Non sono necessariamente caduti in un tranello, non hanno cliccato sul link sbagliato e non hanno peccato di ingenuità. In questo caso, la questione riguarda invece i soggetti che, per legge e per contratto, hanno la responsabilità di custodire i loro dati: le istituzioni e gli operatori che gestiscono servizi finanziari.
La dinamica, se confermata dalle indagini, è sconcertante. I criminali informatici non avrebbero dovuto aggirare direttamente sofisticate barriere digitali: avrebbero sfruttato l’autorevolezza apparente di una comunicazione proveniente da un indirizzo istituzionale compromesso.
Ed è questo il punto sul quale occorre interrogarsi: quanto devono essere rigorose le procedure di verifica quando una richiesta proveniente da un’autorità pubblica pretende l’accesso a informazioni bancarie e personali?
Una firma, un indirizzo istituzionale o un dominio apparentemente legittimo non possono diventare una sorta di lasciapassare per accedere ai dati privati di centinaia di persone. Quando sono in gioco identità, conti correnti, patrimoni e movimenti finanziari, i controlli dovrebbero essere proporzionati alla delicatezza delle informazioni richieste.
Questo scandalo, al di là delle responsabilità che dovranno essere accertate, riporta quindi al centro una verità semplice: la sicurezza informatica non può essere considerata soltanto un problema individuale.
I cittadini sono obbligati a fornire una quantità crescente di informazioni personali per aprire un conto, utilizzare un servizio o rispettare gli obblighi di identificazione. In cambio, devono poter pretendere che quei dati siano custoditi con standard di sicurezza adeguati.
È inammissibile che un sistema possa affidarsi esclusivamente alla presunta autenticità di una comunicazione quando quella comunicazione può provenire da un account istituzionale compromesso. Per richieste particolarmente invasive della privacy servono procedure di verifica ulteriori, tracciabili e realmente efficaci.
La retorica della “colpa del cittadino distratto” deve quindi finire. Il problema è sistemico.
Servono controlli più rigorosi, responsabilità chiare e, quando emergano violazioni degli obblighi di sicurezza, sanzioni adeguate da parte delle autorità competenti, a partire dal Garante per la protezione dei dati personali e dagli organismi di vigilanza interessati.
Chi custodisce i nostri dati deve essere chiamato a rispondere quando non li protegge adeguatamente.
Perché la privacy non è una merce di scambio. È un diritto.
SU