PEC istituzionale compromessa: cosa insegna il caso Revolut alle PMI italiane

Un dominio giusto non prova che il mittente sia autorizzato

Secondo quanto ricostruito da diverse testate (ANSA, MilanoFinanza, LaCNews24), le richieste inviate a Revolut sono transitate per un indirizzo realmente riconducibile al dominio del Ministero dell'Interno, associato alla Prefettura di Reggio Calabria. Le indagini della Polizia Postale stanno ancora chiarendo se si sia trattato di una compromissione reale della casella o di una tecnica capace di aggirare i controlli di autenticazione del dominio (i protocolli SPF, DKIM e DMARC che normalmente dovrebbero bloccare messaggi contraffatti). In entrambi i casi il punto per un'impresa è lo stesso: il fatto che una PEC arrivi da un dominio che sembra corretto dice solo che il messaggio è transitato o appare provenire da lì, non dice nulla su chi lo ha scritto e se quella persona sia davvero autorizzata a chiedere ciò che chiede. La Polizia Postale, per esempio, dispone di propri canali dedicati per le richieste di questo tipo, diversi da quelli di una prefettura: un dettaglio che, se noto e verificato, avrebbe permesso di intercettare l'anomalia molto prima.

I segnali d'allarme che non vanno mai ignorati

Dal caso Revolut emergono almeno tre anomalie che, ripetute, dovrebbero far scattare un controllo prima di qualsiasi risposta:

• Assenza di riferimenti normativi precisi. Le richieste degli investigatori italiani sono normalmente accompagnate da un decreto dell'autorità giudiziaria: nei messaggi ricevuti da Revolut questa documentazione mancava.
• Canale insolito rispetto alla prassi. Una richiesta che dice di provenire dalla Polizia Postale ma arriva da una casella di una prefettura, o comunque da un mittente con cui l'azienda non ha mai avuto contatti precedenti, è di per sé un'anomalia da verificare.
• Pressione sui tempi e ampiezza della richiesta. Richieste che spingono a rispondere in fretta, o che chiedono un volume di dati sensibili (documenti d'identità, conti correnti, storico delle transazioni) più ampio del necessario per il contesto dichiarato, meritano sempre una pausa di verifica, non un'evasione automatica.

Nel caso Revolut queste anomalie sono state notate solo dopo mesi, quando la banca si è rivolta direttamente all'istituzione italiana, che ha negato di essere la fonte dei messaggi.

Una procedura interna di doppia verifica per le richieste sensibili

La lezione pratica per una PMI è costruire, prima che serva, una procedura scritta per le richieste che coinvolgono dati sensibili di clienti, dipendenti o fornitori, indipendentemente dal canale con cui arrivano:

• Non rispondere né allegare dati usando i recapiti presenti nella mail o PEC ricevuta: se il messaggio è falso, anche l'eventuale numero di telefono o indirizzo di risposta indicato al suo interno potrebbe essere falso.
• Fare sempre un callback su un canale già noto e verificato in autonomia: il numero del centralino dell'ente o dell'azienda, reperito da fonti proprie (contratti precedenti, sito istituzionale ufficiale), non quello riportato nel messaggio sospetto.
• In caso di richieste che citano un'autorità giudiziaria o di polizia, verificare l'esistenza dell'atto attraverso i canali ufficiali dell'ente competente, prima di trasmettere qualunque informazione.
• Non basarsi mai sul solo dominio del mittente come prova di autenticità: va trattato come un indizio, non come una conferma.

Hi-Keep affianca le PMI proprio nella progettazione di queste procedure: definire chi, in azienda, ha l'autorità di validare una richiesta sensibile, quali controlli va fatti prima di rispondere e come documentarli, in modo che la verifica non dipenda dalla sola intuizione di chi apre la PEC quel giorno.

La formazione di chi gestisce PEC e richieste ufficiali

Nella maggior parte delle PMI italiane la PEC viene gestita da poche persone: amministrazione, ufficio legale, a volte la stessa titolarità. Sono loro il vero perimetro da proteggere in casi come questo, perché nessun controllo tecnico sostituisce una persona che sa riconoscere un'anomalia e sa di dover chiedere un secondo parere prima di agire. Hi-Keep organizza percorsi di formazione mirati per il personale amministrativo e legale che gestisce la corrispondenza ufficiale via PEC, costruiti sui casi reali più recenti (come quello Revolut) e non su scenari teorici, così da rendere concreto il tipo di richiesta che deve insospettire.

Proteggere la propria PEC aziendale: il rischio è anche per i vostri clienti

Il caso Revolut ricorda anche l'altra faccia del problema: se la PEC aziendale viene compromessa, può diventare lo strumento con cui qualcuno colpisce i vostri stessi clienti o fornitori, con lo stesso schema usato contro la Prefettura di Reggio Calabria. Per una PMI questo significa verificare periodicamente la sicurezza della propria casella PEC: password robuste e non riutilizzate, autenticazione a più fattori dove il gestore la mette a disposizione, monitoraggio degli accessi e delle configurazioni del dominio di posta (compresi i record SPF, DKIM e DMARC, che riducono il rischio che qualcuno invii messaggi contraffatti a nome della vostra azienda). Hi-Keep effettua verifiche tecniche su questi aspetti nell'ambito dei propri servizi di Cyber Security, individuando le configurazioni deboli prima che vengano sfruttate.

Come può aiutare Hi-Keep

Su questo tema specifico Hi-Keep può supportare la vostra azienda in modo concreto: un audit della configurazione di sicurezza della PEC e del dominio di posta aziendale, la definizione insieme al vostro team di una procedura interna di doppia verifica per le richieste sensibili, e sessioni di formazione per il personale amministrativo e legale su come riconoscere richieste anomale prima di rispondere. Chi gestisce quotidianamente PEC e comunicazioni con enti pubblici o clienti può contattare Hi-Keep per una valutazione mirata del proprio livello di esposizione a questo tipo di frode.