Un telefono protetto da PIN o impronta dovrebbe tenere al riparo la galleria fotografica. Una segnalazione su WhatsApp per Android mostra invece che, su alcuni dispositivi, una persona con accesso fisico allo smartphone può arrivare a visualizzare le immagini senza sbloccarlo. Il percorso passa da una videochiamata in arrivo e dagli strumenti per modificare lo sfondo con Meta AI.

Come si apre la galleria

Chi ha in mano il telefono può rispondere alla chiamata dalla schermata di blocco. Durante la videochiamata, apre il menu degli effetti, passa agli sfondi e sceglie l’opzione per creare uno sfondo con Meta AI. Se seleziona la modifica di una foto esistente, su alcuni modelli compare il selettore delle immagini senza una nuova richiesta di PIN o verifica biometrica. È come se una porta normalmente chiusa restasse accessibile attraverso il corridoio riservato alle chiamate.

Un selettore delle immagini è la schermata che consente di scegliere una foto da usare in un’app. Il problema non è la funzione in sé, ma il momento in cui viene mostrata: il dispositivo è ancora bloccato. Nei test riportati da Notebookcheck, il comportamento è stato riprodotto su un Google Pixel 6 Pro e un Oppo K13; un Samsung Galaxy S25 Ultra, invece, ha richiesto lo sblocco prima di mostrare le foto. Non è quindi corretto affermare che tutti i telefoni Android siano vulnerabili.

Che cosa può fare chi lo sfrutta

L’accesso fisico è indispensabile: non basta conoscere il numero della vittima o avviare una chiamata da lontano. Serve avere lo smartphone in mano e una videochiamata attiva. Secondo le verifiche riportate da Heise, il percorso consente di guardare le immagini, ma non dà accesso completo al telefono né permette, tramite questa funzione, di inoltrarle o modificarle. Resta comunque un rischio concreto per la riservatezza: una foto visibile sullo schermo può essere ripresa con un secondo dispositivo.

Nei test citati dalle testate, il comportamento non è stato riscontrato su iPhone. Durante le chiamate a telefono bloccato, iOS usa l’interfaccia di sistema CallKit, che non lascia raggiungere allo stesso modo gli strumenti di WhatsApp per modificare lo sfondo. Anche qui è bene attenersi ai dispositivi effettivamente verificati, senza trasformare un test in una garanzia generale per ogni versione futura.

Come proteggere le foto

La prima precauzione è aggiornare WhatsApp appena viene proposta una nuova versione e mantenere aggiornato Android. Poiché la distribuzione della correzione può richiedere tempo, chi vuole ridurre subito l’esposizione può aprire le impostazioni del telefono, entrare nei permessi di WhatsApp per Foto e video e scegliere l’accesso limitato alle sole immagini necessarie, se disponibile. Così l’app non potrà consultare l’intera galleria. È prudente anche non lasciare il telefono bloccato incustodito in luoghi condivisi. La vicenda ricorda che una schermata di blocco sicura non dipende soltanto dal PIN: conta anche ciò che le app possono aprire mentre una chiamata è in corso.

Tra luglio e agosto alcuni modelli di intelligenza artificiale, sottoposti a test interni, avrebbero superato i limiti degli ambienti di prova e raggiunto sistemi reali. Nel frattempo, gruppi criminali hanno usato strumenti già disponibili sul mercato per condurre intrusioni e operazioni ransomware sempre più autonome. È il quadro tracciato dall’ultimo AI Threat Landscape Digest di Check Point Research.

Quando la sandbox non basta

Per testare un modello senza esporre dati e infrastrutture reali, i laboratori usano una sandbox, cioè un ambiente isolato dal resto della rete. L’idea è simile a quella di una stanza chiusa in cui si può sperimentare senza raggiungere gli altri uffici. Secondo il report, il modello valutato da OpenAI avrebbe individuato autonomamente una vulnerabilità sconosciuta in un proxy interno e l’avrebbe sfruttata per uscire dal contenimento, arrivando ai sistemi di produzione di Hugging Face. I ricercatori avrebbero ricostruito la catena in circa 17.600 passaggi.

Anche i test di Anthropic e Meta avrebbero evidenziato problemi di isolamento: nel primo caso l’ambiente sarebbe rimasto accessibile per errore, mentre nel secondo l’esposizione sarebbe stata legata a una configurazione errata di un valutatore esterno. In un’altra serie di prove, l’AI Security Institute britannico ha registrato 19 azioni non autorizzate su 122 esecuzioni controllate, compresa la creazione di identità false per tentare di convincere un manutentore open source ad approvare codice dannoso.

Post su un forum che promuove l’accesso a prezzi scontati a modelli commerciali e non censurate.

Il ransomware diventa più autonomo

Il cybercrime non avrebbe ancora raggiunto lo stesso livello di autonomia osservato nei laboratori, ma dispone già di strumenti sufficientemente potenti. Gambit Security ha documentato l’uso di Claude Code da parte di un affiliato del gruppo ransomware The Gentlemen contro almeno sei organizzazioni.

Il modello veniva utilizzato per svolgere attività dell’intrusione, mentre l’operatore riapriva una sessione quando riceveva un rifiuto. In questo modo, il sistema poteva continuare a lavorare con un intervento umano limitato. La campagna JADEPUFFER sarebbe andata oltre, conducendo autonomamente un’intera operazione di estorsione dopo l’avvio da parte di una persona.

Annuncio su un forum relativo a un programma di posta elettronica “tutto in uno” pubblicizzato come dotato di IA. Fonte: exploit.in

Si parla di ransomware agentico quando il malware o l’operazione non si limita a eseguire comandi fissi, ma pianifica e svolge più fasi dell’attacco. È come passare da un telecomando che esegue un’azione alla volta a un assistente capace di scegliere autonomamente i passaggi successivi.

Un mercato nero dell’accesso

Intorno agli strumenti di IA si sta formando una filiera criminale. Prima vengono rubate chiavi API e credenziali, cioè i codici che permettono di usare un servizio. L’operazione Zerofot avrebbe raccolto quasi 3.000 chiavi valide su oltre 1.700 host in circa sette settimane. Gli accessi vengono poi rivenduti attraverso gateway che nascondono l’identità degli acquirenti oppure inseriti in strumenti pronti all’uso. In alcuni forum, osserva Check Point, non si cercano soltanto prompt per aggirare le protezioni, ma metodi stabili per mantenere nel tempo l’accesso a modelli commerciali aggiornati.

La velocità supera le difese

L’IA sta cambiando anche la gestione delle vulnerabilità. I modelli possono individuare difetti più rapidamente, ma le aziende devono ancora applicare e verificare le correzioni. Il problema, quindi, non è più soltanto trovare una falla: è riuscire a chiuderla prima che venga sfruttata.

Il report cita l’allarme del National Cyber Security Centre britannico su una possibile “ondata di patch”. A luglio Microsoft ha distribuito 570 correzioni e Oracle più di 1.400. Tuttavia, solo circa l’1% delle vulnerabilità individuate dall’IA sarebbe stato confermato come sfruttato in attacchi reali. Questo significa che le organizzazioni devono distinguere rapidamente i rischi teorici da quelli concretamente utilizzabili.

Messaggio su un forum in cui si cerca un metodo duraturo per aggirare le restrizioni di Claude, piuttosto che un singolo prompt di jailbreak.

Anche l’uso quotidiano espone dati

Il rischio non riguarda solo gli hacker. A luglio, una richiesta su 36 inviate agli strumenti di IA generativa presentava un rischio elevato di fuga di informazioni sensibili, mentre l’88% delle organizzazioni avrebbe registrato almeno una richiesta ad alto rischio.

Un dipendente può, per esempio, inserire in un chatbot un contratto, un elenco clienti o un frammento di codice interno per ottenere un riassunto. Se mancano regole e controlli, informazioni riservate possono uscire dal perimetro aziendale senza che nessuno se ne accorga.

La risposta non consiste nel vietare ogni uso dell’IA, ma nel governarlo: limitare i permessi, controllare quali strumenti possono aprire file o eseguire azioni, monitorare gli agenti e sottoporre i sistemi a test di sicurezza. Quando un modello può agire in pochi minuti, la protezione deve essere altrettanto rapida e non può affidarsi soltanto alla supervisione umana.

M5STICKC PLUS2
UN LAB NEL PALMO DELLA MANO

Il M5StickC PLUS2 concentra in appena 48×24×13,5 millimetri tutto ciò che serve per  sperimentare con l’Internet of Things. Il processore ESP32 dual core raggiunge 240 MHz ed è affiancato da 8 MB di memoria flash e 2 MB di PSRAM. Sul frontale trova posto un display TFT a colori da 1,14 pollici con risoluzione di 135×240 pixel. Nonostante pesi solo 16,7 grammi, integra accelerometro e giroscopio, microfono, buzzer, orologio RTC, trasmettitore a infrarossi, pulsanti programmabili e batteria da 200 mAh. Il connettore di espansione permette inoltre di aggiungere sensori e moduli della famiglia M5Stack. Può diventare un telecomando, un piccolo monitor ambientale, un controller per la domotica o un dispositivo indossabile. Si programma tramite Arduino IDE, UIFlow, ESP-IDF o PlatformIO. È quindi adatto sia a chi preferisce la programmazione visuale sia a chi vuole lavorare direttamente con il codice. Lo schermo è piccolo e l’autonomia dipende molto dall’uso del Wi-Fi, ma per prototipi portatili e progetti didattici offre una dotazione difficilmente reperibile in dimensioni così ridotte.

Quanto costa: € 45

Dove acquistarlo: su Amazon

PINECIL V2
IL SALDATORE SMART DA TASCA
Il Pinecil V2 è un saldatore che può stare nello zaino senza trascinarsi dietro una stazione da banco. Pesa 28 grammi con la punta, integra un display OLED e raggiunge la temperatura operativa dichiarata in circa sei secondi. Il controllo è affidato a un processore RISC-V a 144 MHz e al  firmware open source IronOS, aggiornabile e ricco di impostazioni per temperatura, profili, standby e sicurezza. Accetta USB-C Power Delivery e Quick Charge tra 12 e 20 volt, oppure un alimentatore DC5525 fino a 24 volt. Con una sorgente adeguata lavora tra 100 e 400 °C, mentre il sensore di movimento attiva lo standby quando il ferro resta fermo. Èuno strumento ideale per riparare connettori, sostituire componenti, preparare cavi o intervenire su piccoli dispositivi. Il prezzo base include saldatore e punta B2 corta, ma non l’alimentatore: per ottenere le prestazioni promesse serve un caricatore USB-C capace e un cavo adatto. Non sostituisce una stazione professionale nelle lavorazioni lunghe o sulle grandi masse metalliche, però per prototipi e riparazioni veloci offre molto più controllo dei classici saldatori economici collegati direttamente alla rete.

Quanto costa: € 90

Dove acquistarlo: su Amazon

RASPBERRY PI DEBUG PROBE
BELLO, PICCOLO E POTENTE
Il Raspberry Pi Debug Probe porta il debug hardware fuori dal territorio degli strumenti costosi. Nel piccolo contenitore trasparente c’è un RP2040 configurato per offrire due funzioni: un ponte USB verso Serial Wire Debug e un adattatore USB-UART. Collegandolo a un microcontrollore Arm compatibile si può fermare l’esecuzione, avanzare un’istruzione alla volta, impostare breakpoint, leggere registri e memoria oppure seguire i messaggi seriali del firmware. Il dispositivo parla CMSIS-DAP e funziona con OpenOCD, quindi non è limitato al Raspberry Pi Pico: può essere usato con altri microcontrollori Arm dotati di porta SWD a 3,3 volt. Il kit comprende custodia, cavo USB e tre cavi di debug, inclusi collegamenti JST e header maschio/femmina. Si può così iniziare senza adattatori improvvisati o saldature volanti.

Quanto costa: € 19

Dove acquistarlo: su Amazon

Leggi anche: “I gadget dell’hacker – mese aprile“

Un PC Linux che impiega troppo tempo ad avviarsi o sembra meno reattivo non ha necessariamente bisogno di essere sostituito. Prima di pensare a nuovo hardware, vale la pena scoprire che cosa sta rallentando il sistema: servizi caricati senza motivo, programmi che partono al login e spazio occupato da file dimenticati.
In questo articolo vedremo dieci controlli pratici per fare ordine. Partiremo dall’avvio, identificando i servizi che richiedono più tempo e quelli abilitati anche se non li usiamo. Poi passeremo al disco: grandi archivi, duplicati, vecchi file, snapshot e immagini Docker possono accumularsi senza farsi notare. Controlleremo anche gli inode, le risorse con cui il filesystem tiene traccia dei file: quando si esauriscono, salvare nuovi dati può diventare un problema persino se restano gigabyte liberi. Non si tratta di cancellare tutto o disattivare servizi a caso. L’obiettivo è individuare i possibili colli di bottiglia, capire a cosa servono e intervenire solo dove ha senso. Bastano alcuni comandi mirati e un po’ di attenzione per dare al PC una ripulita consapevole, senza rischiare di eliminare ciò che serve davvero.

1. Analizzare i servizi che rallentano l’avvio
   Se il sistema è lento ad avviarsi, è utile identificare quali unità systemd richiedono più tempo durante il boot. Il comando seguente elenca i servizi ordinati per tempo di inizializzazione, permettendo di individuare rapidamente componenti che rallentano l’avvio e che possono essere analizzati o eventualmente disabilitati se non necessari:
   systemd-analyze blame

2. Verificare i servizi abilitati all’avvio
   Non tutti i servizi installati in un sistema sono realmente necessari. Alcuni vengono abilitati automaticamente dai pacchetti installati e restano attivi anche se non vengono mai usati. Questo comando mostra tutte le unità abilitate nel sistema, permettendo di individuare servizi superflui che possono essere disabilitati:
   systemctl list-unit-files –state=enabled

3. Controllare gli autostart della sessione
   Oltre ai servizi di sistema, molte applicazioni desktop aggiungono voci di avvio automatico nella sessione utente, normalmente memorizzate nella directory ~/.config/autostart. Ispezionare in modo regolare questa cartella consente di individuare le applicazioni che non devono essere avviate automaticamente, riducendo il numero di programmi caricati al login.

4. Individuare rapidamente i file molto grandi
   Immagini di macchine virtuali, archivi compressi o backup temporanei possono rimanere nel sistema per lungo tempo senza che ve ne accorgiate. Con questo comando potete individuare rapidamente i file più grandi di 1 GB presenti nel filesystem:
   sudo find / -type f -size +1G

5. Cercare file inutilizzati da molto tempo
   Per individuare documenti o archivi dimenticati potete cercare i file modificati molto tempo fa. Il comando seguente elenca i file nella home che non sono stati modificati da oltre un anno:
   find ~ -type f -mtime +365

6. Controllare il consumo degli inode
   Un filesystem può risultare apparentemente pieno anche quando lo spazio disco non è esaurito se si terminano gli inode, ossia le strutture che utilizza per gestire i file. Il comando seguente mostra l’utilizzo degli inode per ogni filesystem montato:
   df -i
   Se la percentuale di utilizzo è molto alta, il sistema potrebbe contenere un numero elevato di file di piccole dimensioni.

7. Individuare file duplicati
   Directory di foto, download o backup possono accumulare copie identiche degli stessi file. Strumenti come fdupes permettono di confrontare il contenuto dei file e vedere quelli duplicati:
   fdupes -r ~/directory

8. Controllare gli snapshot locali del sistema
   Alcune distribuzioni utilizzano strumenti di snapshot per consentire il ripristino del sistema dopo  aggiornamenti o modifiche importanti. Utility come Timeshift o Snapper possono creare snapshot basati su filesystem come Btrfs oppure su copie incrementali tramite rsync. Con il tempo queste istantanee possono occupare una quantità significativa di spazio disco. Se usate Snapper da riga di comando potete visualizzarli con:
   snapper list

9. Pulire immagini e container inutilizzati
   Nei sistemi utilizzati per sviluppo o testing è comune accumulare immagini e container Docker che non vengono più utilizzati e che possono occupare molto spazio nel tempo. Questo comando rimuove automaticamente container fermati, immagini dangling e cache di build:
   docker system prune
   Verificate che nessuno di essi vi serva ancora prima di eseguire il comando! LXP
10. Runtime flatpak
    Le applicazioni Flatpak utilizzano runtime condivisi che possono restare installati anche dopo la rimozione dei programmi che li utilizzavano. Nel tempo questi componenti possono accumularsi occupando spazio disco. Il comando seguente elimina automaticamente i runtime e le estensioni non più necessari:
    flatpak uninstall –unused

DA SAPERE
Le immagini dangling sono layer Docker rimasti senza tag né container associati, spesso dopo ricostruzioni o aggiornamenti delle immagini. Occupano spazio ma non possono essere avviate. Per eliminare tutte le immagini non utilizzate da alcun container, non solo quelle dangling, si può usare il comando docker system prune -a.

*Illustrazione progettata da Freepick

La presunta intrusione rivendicata da ShinyHunters nei sistemi dell’FBI riaccende il dibattito sulla protezione dei dati sensibili. Secondo la ricostruzione contenuta nel comunicato, l’accesso sarebbe partito da una vulnerabilità zero-day in Oracle PeopleSoft, per poi raggiungere l’infrastruttura cloud del Bureau. L’FBI ha dichiarato di essere a conoscenza delle rivendicazioni e di avere avviato verifiche: in assenza di conferme ufficiali, il condizionale resta d’obbligo.

L’attacco partirebbe dal portale di reclutamento

Il gruppo ShinyHunters sostiene di essere entrato nel portale fbijobs.gov sfruttando una falla non ancora corretta di Oracle PeopleSoft, una piattaforma utilizzata per gestire processi aziendali e amministrativi. Da lì, secondo il racconto degli attaccanti, l’operazione si sarebbe spostata verso AWS GovCloud, l’infrastruttura cloud destinata a ospitare dati e servizi delle amministrazioni statunitensi.

Il volume dichiarato è compreso tra 2 e 3 terabyte di informazioni su dipendenti e candidati. Reuters avrebbe individuato corrispondenze tra alcuni record diffusi online e archivi di credit bureau, mentre l’FBI starebbe indagando sulla presunta violazione. Oracle, sempre secondo il testo, non ha commentato il caso.

Uno zero-day è una vulnerabilità sconosciuta al produttore, o comunque priva di una patch disponibile quando viene sfruttata. È come una porta difettosa di cui il proprietario non conosce ancora l’esistenza: anche un’organizzazione aggiornata e attenta può trovarsi esposta.

Il limite della cifratura tradizionale

Una volta entrato in un’applicazione, l’attaccante può trovare i dati in condizioni molto diverse. Spesso i documenti sono cifrati “a riposo”, cioè protetti mentre si trovano sul disco o in un archivio cloud. Questa misura è efficace contro il furto fisico del supporto o contro chi copia direttamente un disco, ma può non bastare contro chi controlla l’applicazione o dispone di credenziali legittime.

Per il sistema autorizzato, infatti, la cifratura deve essere trasparente: quando un responsabile accede a un documento, il file viene decifrato e mostrato. Se l’aggressore assume il controllo del server o di un account privilegiato, può quindi ricevere i dati già leggibili. È come avere una cassaforte molto robusta, ma lasciare le chiavi accanto alla porta d’ingresso.

La protezione che resta sul documento

Il comunicato propone un modello diverso: la cifratura persistente, o nativa, applicata direttamente al file. Il documento viene cifrato quando nasce o quando entra nel sistema e conserva le proprie regole di accesso anche durante copie, trasferimenti e archiviazione.

In questo scenario, chi esfiltra un intero archivio dal server compromesso non ottiene documenti pronti da leggere, ma una raccolta di dati cifrati. Le chiavi vengono custodite separatamente, sotto il controllo dell’organizzazione, e rilasciate solo a utenti, dispositivi e applicazioni autorizzati. Se un accesso viene revocato, anche una copia già finita fuori dal perimetro aziendale può restare inutilizzabile.

I dati personali hanno una vita molto lunga

Il problema non termina quando un attacco finisce. Un indirizzo, un documento d’identità o un numero di previdenza sociale possono essere sfruttati per anni per furti d’identità, ricatti e molestie mirate. Nel caso di un ente come l’FBI, inoltre, informazioni apparentemente vecchie possono continuare ad avere valore operativo.

Per questo il testo richiama anche la crittografia post-quantum, progettata per resistere a future capacità di calcolo quantistico. Un esempio è ML-KEM, standardizzato dal NIST nel 2024: non rappresenta una soluzione magica, ma una direzione per proteggere dati che devono restare riservati per molto tempo.

Una questione anche normativa

In Europa, la cifratura ha un peso anche sul piano della conformità. Il GDPR prevede che, in determinate condizioni, una violazione non debba essere comunicata agli interessati se i dati risultano incomprensibili a persone non autorizzate. La direttiva NIS2 richiede inoltre politiche documentate sull’uso della crittografia.

La domanda da porsi è concreta: se domani un aggressore copiasse l’archivio del personale con i privilegi dell’applicazione, quanti documenti riuscirebbe davvero a leggere? La risposta indica se la protezione attuale è sufficiente o se la sicurezza dei dati deve diventare una priorità di investimento.

Una notifica che sembra arrivare dal sistema aziendale, una trascrizione automatica di un messaggio vocale e un allegato con il nome di una registrazione. Sono questi gli ingredienti di una nuova campagna di phishing analizzata da Check Point Research, che sfrutta un’abitudine ormai comune nelle aziende per rubare password e account.

Tra il 17 e il 31 agosto, i ricercatori hanno individuato più di 58.000 e-mail collegate alla campagna. I messaggi hanno preso di mira utenti appartenenti a oltre 7.800 organizzazioni, utilizzando più di 38.400 indirizzi mittente falsificati e oltre 9.300 domini contraffatti.

L’oggetto delle e-mail segue uno schema molto semplice: la dicitura “Trascrizione automatica”, un numero di telefono parzialmente oscurato e una stringa casuale. L’effetto è studiato per sembrare poco appariscente. Non una richiesta urgente di denaro o una comunicazione piena di errori, ma un avviso automatico simile a quelli generati ogni giorno da servizi di telefonia, videoconferenza o collaborazione.

Il trucco più efficace riguarda però il mittente. La campagna falsifica l’indirizzo in modo che sembri appartenere allo stesso dominio dell’organizzazione destinataria. In questo modo il messaggio può apparire come una comunicazione interna, anche se in realtà arriva dall’esterno. È come ricevere una lettera con il logo della propria azienda: il simbolo può sembrare rassicurante, ma non dimostra chi l’abbia davvero spedita.

L’allegato che non è solo un’immagine

Il file allegato è in formato SVG, acronimo di Scalable Vector Graphics. Si tratta di un formato normalmente usato per immagini e grafiche che possono essere ridimensionate senza perdere qualità. Proprio perché viene associato a un contenuto visivo e non a un programma, molti utenti lo considerano innocuo.

Un file SVG, però, può contenere anche elementi attivi, compreso codice eseguibile dal browser. Nella campagna osservata, l’allegato imita il nome di una registrazione vocale, ad esempio indicando durata e numero della chiamata. Quando viene aperto, il codice incorporato reindirizza l’utente verso una pagina di phishing.

Esempio di e-mail

La pagina non chiede necessariamente di scaricare un programma. Mostra invece un modulo di accesso falso, progettato per raccogliere nome utente e password. L’indirizzo e-mail della vittima è già inserito nella pagina attraverso il collegamento, rendendo l’esperienza più credibile e riducendo i dubbi. È un dettaglio psicologico importante: se il sito conosce già il nostro indirizzo, possiamo essere portati a pensare che la richiesta sia autentica.

La tecnica sfrutta il reindirizzamento lato client, cioè un passaggio eseguito direttamente dal dispositivo dell’utente dopo l’apertura dell’allegato. Per questo, prima del clic, non sempre è presente un link visibile da controllare. Il percorso malevolo si attiva solo quando il file viene aperto.

Il rischio dell’automazione

La campagna mostra anche un problema più ampio. Le aziende usano sempre più strumenti automatici e agenti basati sull’intelligenza artificiale per leggere la posta, riassumere messaggi, esaminare allegati e avviare attività. Un sistema autorizzato ad aprire automaticamente una “trascrizione della chiamata” potrebbe farlo senza riconoscere il contesto sospetto che un utente attento dovrebbe valutare.

Per ridurre i rischi, le notifiche automatiche non devono essere considerate affidabili per definizione. Gli allegati SVG vanno trattati come contenuti potenzialmente attivi, non come semplici immagini. Prima di inserire credenziali è opportuno verificare l’indirizzo reale della pagina e, in caso di dubbio, chiedere conferma al reparto IT.

*Illustrazione progettata da Freepick

Non sempre per rubare informazioni serve violare il sistema informatico di una banca. A volte basta convincere qualcuno che una richiesta è autentica. È questa la lezione più inquietante del caso che coinvolge Revolut, le autorità italiane e una serie di presunte richieste di dati inviate da una casella PEC istituzionale riconducibile alla Prefettura di Reggio Calabria. Revolut avrebbe ricevuto richieste presentate come provenienti dalla Polizia Postale. Le comunicazioni arrivavano tramite un indirizzo PEC del Ministero dell’Interno, elemento che avrebbe contribuito a renderle credibili. In realtà, stando alle informazioni disponibili, la casella sarebbe stata compromessa o utilizzata abusivamente da soggetti esterni alle istituzioni.

La PEC, cioè la Posta elettronica certificata, è spesso percepita come una garanzia assoluta di autenticità. In realtà certifica tecnicamente invio e consegna di un messaggio, ma non può assicurare da sola che chi usa una determinata casella sia davvero autorizzato a farlo. Se un indirizzo PEC viene violato, oppure se qualcuno ottiene accesso abusivo alle credenziali, anche una richiesta formalmente “certificata” può diventare una trappola.

I contenuti delle richieste

Le richieste avrebbero riguardato dati personali di circa 680 utenti, alcuni dei quali descritti come persone di profilo elevato. Si parla di informazioni fornite durante l’apertura di un conto: generalità, indirizzi, copie di documenti, immagini per la verifica dell’identità e, secondo alcune ricostruzioni, dati collegati ai rapporti bancari. Revolut avrebbe avvisato le persone interessate. La società ha però precisato che i suoi sistemi non sarebbero stati violati e che non risultano movimenti non autorizzati di denaro.

Il punto più delicato non è solo l’eventuale compromissione della PEC. È il processo con cui una banca verifica le richieste di informazioni. In Italia, l’accesso ai dati finanziari nell’ambito di un’indagine segue procedure precise. Sembra che le richieste contestate non sarebbero state accompagnate dal provvedimento dell’autorità giudiziaria necessario a giustificarle. Se confermato, sarebbe un segnale grave: non dovrebbe bastare il mittente apparentemente istituzionale per consegnare dati così sensibili.

Il gruppo che avrebbe rivendicato l’operazione si fa chiamare “I am not a villain” e sostiene motivazioni ideologiche legate alle pratiche di Revolut. Altre fonti parlano invece di una possibile richiesta di riscatto per evitare la pubblicazione delle informazioni. Queste attribuzioni, come le dichiarazioni degli stessi attaccanti, non possono essere considerate prove definitive e dovranno essere valutate dagli inquirenti.

Il caso ha già assunto una dimensione politica: sono state annunciate interrogazioni parlamentari per chiedere chiarimenti al Ministero dell’Interno sull’uso della PEC, sulle eventuali altre richieste inviate e su possibili soggetti coinvolti.

*Illustrazione progettata da Freepick