Attacco hacker a conti e dati bancari con PEC istituzionale: cosa fare subito per difendersi

Un’intrusione telematica ha colpito i database di correntisti europei attraverso l’uso fraudolento di una casella di posta elettronica certificata istituzionale, portando alla sottrazione di dati personali, documenti di riconoscimento e dettagli operativi. L’allarme, legato a un recente attacco hacker banche, accende i riflettori sulla vulnerabilità delle identità digitali e sui rischi indiretti per i servizi online più utilizzati, inclusi gli account su portali di prenotazione come Booking e i servizi finanziari digitali. Mentre le autorità giudiziarie indagano sulla violazione, per gli utenti diventa prioritario verificare la propria esposizione e neutralizzare i tentativi di truffa mirata prima che i dati rubati vengano convertiti in prelievi non autorizzati.

La vicenda riguarda direttamente la fintech britannica Revolut, che conta oltre cinque milioni di clienti sul territorio italiano. Un gruppo di pirati informatici autodenominatosi IAmNotAVillain ha intimato all’istituto il pagamento di un riscatto pari a 3 milioni di dollari in criptovaluta Monero (circa 6.000 XMR), minacciando la divulgazione progressiva o la vendita a terzi di archivi contenenti patenti, passaporti, foto di verifica dell’identità e cronologie delle transazioni bancarie.

I criminali hanno sostenuto di aver profilato gli utenti attraverso indagini sulla blockchain, concentrandosi su profili con elevate disponibilità in asset digitali. La fintech ha confermato che l’episodio ha coinvolto le informazioni personali di circa 680 clienti in Europa, assicurando al contempo che i fondi depositati sui conti non sono stati sottratti direttamente dall’incursione.

La trappola della PEC istituzionale e la dinamica dell’intrusione

Il nodo centrale dell’incursione risiede nel meccanismo con cui gli hacker hanno aggirato le difese aziendali. Secondo le ricostruzioni al vaglio degli inquirenti, i cybercriminali avrebbero sfruttato o clonato un indirizzo di posta certificata appartenente alla Prefettura di Reggio Calabria, sotto il dominio ministeriale @pec.interno.it. Fingendosi emissari delle forze dell’ordine impegnati in una formale richiesta d’indagine per conto della Procura di Milano, gli attaccanti hanno indotto l’assistenza e il reparto conformità a trasmettere fascicoli riservati su specifici clienti.

Sul fronte giudiziario si sono attivate la Polizia Postale, la Procura della Repubblica di Reggio Calabria e la Direzione Nazionale Antimafia (DNA), organo competente quando le anomalie toccano infrastrutture informatiche governative di pubblico interesse. Anche il Garante per la Privacy ha aperto un’istruttoria coordinandosi con l’autorità omologa della Lituania, sede della licenza bancaria europea dell’istituto, per verificare la tenuta dei protocolli di accesso e mitigare l’effetto domino su altre piattaforme.

Un errore comune è credere che l’attacco miri soltanto a svuotare istantaneamente il saldo contabile: la sottrazione di documenti ufficiali e numeri di conto serve principalmente a costruire trappole di ingegneria sociale indistinguibili dalle comunicazioni autentiche.

L’esfiltrazione di informazioni anagrafiche non resta isolata al solo perimetro dell’app bancaria. Una volta in possesso di nominativi, documenti d’identità validi e dettagli sui pagamenti recenti, i truffatori orchestrano frodi a cascata su canali secondari molto esposti, primo fra tutti il settore dei viaggi e delle prenotazioni alberghiere.

Il ponte verso Booking e le piattaforme di viaggio: dove nasce il pericolo

Il collegamento operativo tra una banca compromessa e servizi come Booking risiede nelle modalità con cui le organizzazioni criminali sfruttano le credenziali rubate. Quando i dati di contatto e le carte di pagamento finiscono sul dark web, vengono impiegati per simulare comunicazioni d’emergenza da parte di strutture ricettive o per bucare gli account dei portali di prenotazione.

La tecnica più diffusa consiste nell’inviare alla vittima messaggi apparentemente inviati dalla chat ufficiale dell’albergo prenotato, richiedendo una “re-autenticazione urgente della carta” per non perdere il soggiorno. Avendo già a disposizione il nome, l’indirizzo e frammenti di dati finanziari, i truffatori riescono a confezionare richieste che superano qualsiasi naturale diffidenza.

Mito e realtà sulla sicurezza dei depositi

Esiste la convinzione radicata che un attacco informatico contro un intermediario finanziario comporti l’immediata sparizione dei risparmi dal conto corrente. La realtà tecnica dimostra invece una dinamica diversa: le infrastrutture di base dei fondi rimangono protette da rigidi protocolli di riserva e autorizzazione a due fattori, mentre l’anello debole resta quasi sempre la gestione dei dati identificativi. Il pericolo reale scatta nel momento successivo, quando l’utente viene agganciato via telefono o messaggio per autorizzare inconsapevolmente addebiti o bonifici.

Cosa fare subito per proteggere conto corrente e profili online

Di fronte a intrusioni che coinvolgono dati di pagamento ed elenchi clienti, l’adozione di contromisure immediate è il solo scudo efficace contro l’utilizzo indebito della propria identità.

1. Disattivare le carte e generare codici virtuali: Se si sospetta la compromissione dei dettagli del conto, bloccare temporaneamente le carte fisiche dall’applicazione e utilizzare carte virtuali usa-e-getta per qualsiasi transazione online, inclusi i pagamenti su piattaforme ricettive.
2. Aggiornare le credenziali di accesso: Modificare immediatamente password e PIN di accesso all’home banking e a tutti i servizi collegati, accertandosi che l’autenticazione a due fattori (2FA) sia impostata tramite app di sicurezza e non tramite semplice SMS.
3. Verificare i messaggi all’interno dei portali di viaggio: Qualora si ricevano richieste di reinserimento dati di pagamento su portali come Booking, non cliccare mai su collegamenti esterni alla piattaforma. Contattare telefonicamente la struttura ricettiva attraverso i recapiti reperibili sul loro sito ufficiale.
4. Monitorare la lista movimenti e attivare le notifiche push: Impostare soglie di spesa minime per le notifiche istantanee sullo smartphone, in modo da intercettare addebiti di prova spesso effettuati con importi microscopici.
5. Diffidare di chiamate da presunti operatori o autorità: Nessuna forza dell’ordine o istituto di credito richiede telefonicamente lo spostamento di fondi verso “conti sicuri” né chiede di dettare codici monouso ricevuti via messaggio.

La cooperazione tra i reparti investigativi della Polizia Postale e le autorità internazionali prosegue per circoscrivere l’effettiva estensione dei dati diffusi. Nel frattempo, la vigilanza personale resta la barriera più solida contro le trappole generate da credenziali sottratte.

📱 Controlla adesso le autorizzazioni attive sulla tua app di pagamento e verifica che i recapiti di sicurezza associati al tuo account siano aggiornati.

🛡️ Hai notato messaggi insoliti o richieste anomale di pagamento dopo aver prenotato un viaggio? Condividi la tua esperienza per aiutare altri lettori a riconoscere i nuovi tentativi di raggiro.

👇 Lascia un commento qui sotto e segnala se hai ricevuto avvisi di sicurezza o contatti sospetti nelle ultime ore.