La vicenda della sottrazione di dati dei clienti di Revolut tramite richieste inviate dai malviventi con una PEC appartenente ad un’autorità italiana pone due problemi non troppo evidenti ma non per questo meno importanti per la protezione dei cittadini e la tutela delle infrastrutture di comunicazione: il modo di interagire a distanza con le autorità pubbliche e la pratica della sicurezza basata sulla carta invece che su azioni concrete di Andrea Monti – Inizialmente pubblicato su Italian Tech – La Repubblica.
Quando (e come) si risponde a un messaggio delle “autorità”
L’attacco a Revolut, la banca lituana che ha comunicato una rilevante quantità di dati di clienti facoltosi a malviventi che si sono spacciati per un’autorità italiana è l’occasione per parlare di un problema sistemico particolarmente diffuso in Italia: l’eccessiva “condiscendenza” dell’industria privata nei confronti delle richieste formulate in modo frettoloso dalle forze di polizia per ricevere informazioni necessarie alle indagini o ad altre attività di sicurezza. È bene chiarire da subito, infatti, che in questa vicenda Revolut —e dunque, generalizzando, una banca— non è la “vittima” ma, potenzialmente, la responsabile dell’accaduto. Nel settore bancario, infatti, gli obblighi di sicurezza vanno ben oltre quelli puramente informatici e si estendono anche (e soprattutto) alle procedure organizzative e di controllo sull’operatività.
I precedenti italiani nel settore delle telecomunicazioni
Dalle nostre parti, il problema dell’attendibilità dei messaggi ricevuti dalle autorità è noto da sempre, in particolare a chi si è trovato negli ultimi trent’anni a dover gestire comunicazioni del genere inviate nei modi più diversi, tramite semplici fax, richieste di acquisizione di dati senza delega del magistrato procedente, o PDF privi di firma digitale. In moltissimi casi, a questi messaggi veniva dato riscontro senza andare troppo per il sottile “perché tanto sono richieste della polizia” e dunque non si riteneva necessario chiedere la regolarizzazione formale creando il presupposto per abbassare il livello di attenzione sul trattamento di informazioni critiche.
In realtà, per verità storica va detto che non era così per tutti perché, ad esempio, MC-link, lo storico gestore della grande BBS romana poi diventato uno dei più attivi internet provider fino alla fusione con altri operatori avvenuta nel 2018, controllava scrupolosamente ogni richiesta e, se necessario, la rispediva al mittente chiedendo che venisse regolarizzata. Tuttavia, questo scrupolo —del quale chi scrive è stato testimone diretto in più occasioni— era anche avversato dall’alta direzione aziendale che riteneva inutile sostenere i costi di questa attività sul presupposto che nessuno avrebbe contestato eventuali irregolarità formali.
Quando a scrivere sono i “buoni”
Questa breve nota (auto)biografica di storia italiana del rapporto fra diritto e servizi di telecomunicazioni evidenzia la criticità che ancora oggi affligge il rapporto fra autorità pubbliche e soggetti —non più solo fornitori di servizi di comunicazione elettronica— che operano online. Si tratta, da un lato, del fastidio di chi indaga quando si vede chiedere il rispetto delle regole che deve far applicare e, dall’altro, dell’insofferenza di chi riceve i provvedimenti, che vuole “liquidare la pratica” il più in fretta possibile senza perdere tempo più di tanto, anche a costo di chiudere un occhio su questioni (apparentemente) marginali. Il tutto, con buona pace del fatto che la conoscenza della procedura penale e amministrativa e il rispetto delle forme previste dalla legge nell’interazione con le autorità sono elementi non negoziabili anche nella gestione di servizi basati su sistemi di comunicazione elettronica.
Il rigore nei controlli è la chiave di volta della sicurezza
Come detto, sarebbe ingiusto e fattualmente sbagliato generalizzare queste affermazioni anche perché nel corso del tempo, proprio grazie alla testardaggine di (alcune) direzioni affari legali e di (qualche) responsabile dei rapporti con l’autorità giudiziaria, in Italia le cose sono molto cambiate. Il caso Revolut, tuttavia, porta per l’ennesima volta all’attenzione le conseguenze dell’attitudine a non andare troppo per il sottile quando si riceve una comunicazione (apparentemente) ufficiale. È vero che una parte dell’attacco, l’ottenimento del controllo della PEC istituzionale, aveva natura tecnica; ma è anche vero che l’operazione ha avuto successo sfruttando una vulnerabilità umana dal lato della banca —l’assenza di controlli interni sulle richieste di consegna di dati, oppure il mancato rispetto delle procedure che questi controlli impongono, oppure ancora l’insufficienza delle procedure in questione.
Dobbiamo fidarci della PEC?
Un altro aspetto da considerare nel caso Revolut, è che la “sottrazione” dei dati è stata probabilmente agevolata dalla fiducia eccessiva nel significato giuridico della posta elettronica certificata.
Una PEC identifica con certezza l’utenza —cioè l’account— che invia il messaggio, non la persona che lo spedisce. Questo è, appunto, quanto probabilmente accaduto nella vicenda, dove parrebbe essere stata presa per buona la richiesta di consegna dei dati solo sulla base dell’indirizzo di provenienza e non sull’identificazione dell’effettivo mittente. Non sembra, infatti, che la banca abbia chiamato l’ufficio interessato per avere chiarimenti né, così pare, che il messaggio ricevuto fosse firmato digitalmente.
L’importanza della firma digitale in un messaggio PEC
Per capirci: una PEC identifica (nei limiti di cui sopra) il mittente di una lettera, ma se nella busta c’è un foglio senza firma, non si può affermare che sia il mittente ad avere scritto il messaggio. A dirla tutta, non è impossibile sostituirsi al titolare di una firma digitale specie nel caso di una firma digitale remota, ma sarebbe certamente molto complicato e, impadronirsi anche della PEC, avrebbe richiesto sforzi molto maggiori per portare a compimento il crimine. Tuttavia se la convinzione comune è che “basta una PEC” perché un messaggio sia giuridicamente vincolante è chiaro che la vita dei malviventi è senz’altro agevolata.
Il fallimento della sicurezza di carta
Se una morale dovesse essere trovata nel caso Revolut, sarebbe che la sicurezza di carta, quella basata su “modelli organizzativi”, “certificazioni” e “bollini”, non funziona. Non è vero, infatti, come pure da anni ripetono molti esperti, che “la sicurezza non è un prodotto ma un processo” perché bisognerebbe precisare l’affermazione. Se, infatti, il processo è fine a se stesso diventa, appunto, soltanto un onere burocratico che genera costi e che serve, al più, a rispondere alle domande di qualche cliente “tignoso” oppure a evitare (per quanto possibile) che l’autorità di turno sanzioni la violazione di qualche adempimento formale.
Il colosso digitale con i piedi d’argilla
Questo atteggiamento di favore verso la sicurezza di carta si sposa con la desensibilizzazione causata dalla quantità di reati commessi quotidianamente tramite i servizi di comunicazione elettronica. Dunque, sarebbe forte la tentazione di considerare il caso Revolut come uno dei tanti e di inserirlo nel registro dell’ennesima frode andata a buon fine per poi dimenticarsene.
Non è —o non dovrebbe essere— così perché ancora una volta siamo di fronte all’impatto negativo di una digitalizzazione incontrollata e, ora, incontrollabile, la cui conseguenza è l’impossibilità di garantire una reale sicurezza alle parti più deboli della società che, per compiere anche gli atti più semplici della vita quotidiana, devono “scaricare l’app” —metafora della deumanizzazione dei rapporti fra persone e istituzioni— e farsi il segno della croce.
Possibly Related Posts:
- Autistici/Inventati: il mondo scopre in ritardo che l’hacktivism non è un pranzo di gala
- Cybercrime, la nuova dottrina Usa tra privati, intelligence e difesa
- Amazon perde la causa contro Perplexity: è sempre l’utente responsabile di quello che fa un’AI
- Videoriprendere in pubblico (anche la polizia) non è un crimine ma non è un diritto assoluto
- Perché lo stop degli Usa ai robot cinesi riguarda anche l’Europa