Σοβαρές διαστάσεις λαμβάνει η κυβερνοεπίθεση που έπληξε την Ιταλία, αποκαλύπτοντας σημαντικές αδυναμίες τόσο στις κρατικές υποδομές όσο και στις διαδικασίες επαλήθευσης που εφαρμόζουν οι σύγχρονες ψηφιακές τράπεζες.
Στο επίκεντρο βρίσκεται η Revolut, καθώς οι δράστες φέρονται να απέκτησαν πρόσβαση σε προσωπικά και οικονομικά δεδομένα περίπου 680 χρηστών υψηλού προφίλ. Η τράπεζα διευκρινίζει ότι τα κεφάλαια των πελατών παραμένουν ασφαλή, ωστόσο οι ειδικοί προειδοποιούν για αυξημένο κίνδυνο στοχευμένων απατών και πλαστοπροσωπίας.
Η ομάδα χάκερ με το ψευδώνυμο «iamnotavillain» απαιτεί λύτρα ύψους 3 εκατομμυρίων δολαρίων σε κρυπτονόμισμα Monero (XMR) εντός 24 ωρών. Σε διαφορετική περίπτωση, απειλεί να δημοσιοποιήσει περίπου 147 Gigabytes δεδομένων.
Σύμφωνα με τις πληροφορίες που έχουν γίνει γνωστές, το υλικό περιλαμβάνει ευαίσθητα έγγραφα των σωμάτων ασφαλείας, ηλεκτρονική αλληλογραφία, καθώς και πλήρεις φακέλους με προσωπικά και οικονομικά στοιχεία εκατοντάδων εύπορων πελατών της Revolut.
Οι εισβολείς φαίνεται πως κινήθηκαν μεθοδικά, αξιοποιώντας την τακτική της «στοχευμένης αλίευσης». Αρχικά, σάρωσαν τη δημόσια τεχνολογία blockchain, αναζητώντας συναλλαγές εκατομμυρίων και διευθύνσεις κρυπτονομισμάτων που συνδέονταν με τη Revolut. Με τον τρόπο αυτό χαρτογράφησαν τους πιο εύπορους χρήστες της πλατφόρμας.
Στη συνέχεια, χρησιμοποίησαν κακόβουλο λογισμικό τύπου infostealer για να υποκλέψουν κωδικούς πρόσβασης από την πιστοποιημένη ηλεκτρονική αλληλογραφία (PEC) της Υποδιοίκησης του Ρέτζιο Καλάμπρια.
Μέσω της τεχνικής «Man-in-the-Mail», οι δράστες κατάφεραν να παραμείνουν απαρατήρητοι για μήνες. Διάβαζαν και έστελναν μηνύματα, χωρίς να κινήσουν τις υποψίες των αρμόδιων λειτουργών και χωρίς να γίνει αντιληπτή η παρουσία τους στο σύστημα.
Έχοντας εμφανιστεί ως δικαστική αρχή, απέστειλαν στη Revolut εκατοντάδες πλαστές Ευρωπαϊκές Διαταγές Έρευνας (EIO), ζητώντας τα πλήρη στοιχεία των κατόχων συγκεκριμένων λογαριασμών.
Το νομικό τμήμα της τράπεζας βασίστηκε αποκλειστικά στην αυθεντικότητα της διεύθυνσης αποστολής της PEC και ενέκρινε τα αιτήματα χωρίς πρόσθετη διασταύρωση. Έτσι, οι χάκερ έλαβαν φακέλους που περιείχαν ονόματα, αριθμούς τηλεφώνου, φωτογραφίες ταυτοτήτων, selfies εγγραφής, ιστορικό συναλλαγών και στοιχεία τραπεζικών λογαριασμών.
Παράλληλα, στα χέρια των δραστών περιήλθαν έγγραφα ποινικών δικογραφιών, τα οποία καλύπτονταν από δικαστικό απόρρητο.
Η υπόθεση προκάλεσε την άμεση κινητοποίηση της Αρχής Προστασίας Δεδομένων της Ιταλίας, που ξεκίνησε έκτακτους ελέγχους στις τράπεζες. Την ίδια ώρα, η πολιτική αντιπολίτευση ζητά εξηγήσεις από τον Υπουργό Εσωτερικών.
Το περιστατικό καταδεικνύει με τον πλέον σαφή τρόπο τους κινδύνους που δημιουργεί η τυφλή εμπιστοσύνη σε ένα και μόνο κανάλι επικοινωνίας. Χωρίς ανεξάρτητα πρωτόκολλα επαλήθευσης, ακόμη και τα πιο εξελιγμένα συστήματα ψηφιακής ασφάλειας μπορούν να παραβιαστούν, την ώρα που αντίστοιχα περιστατικά πληθαίνουν.
