Link alla notizia: https://www.hwupgrade.it/news/sicurezza-software/caso-revolut-piantedosi-alla-camera-la-societa-doveva-verificare-la-pec_160006.html

Matteo Piantedosi ha riferito alla Camera sul data breach Revolut: la fintech avrebbe dovuto verificare la PEC della Prefettura di Reggio Calabria. Ma restano dubbi sui 147 GB di dati delle forze dell'ordine finiti nelle mani degli attaccanti

Click sul link per visualizzare la notizia.

L'ho sempre detto che lo sport nazionale italiano non e' il calcio, ma lo scaricabarile...

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)

Da questo caso è evidente come Revolut, come tanti altri soggetti Fintech, pensa che basta aprire un sito tradotto in lingua locale per poter operare in ITalia o qualsiasi altro paese EU. Certamente si vedrà che, dal punto di vista interno, non ha un ufficio con le competenze e dimensioni per gestire le richieste delle autorità giudiziarie quando esse siano legittime.

E mi fermo qui...

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.
i vostri post mi fanno pensare
Premetto che secondo me dal punto di vista aziendale ha sbagliato al 100% Revolut.
Perchè è corsa a fornire i dati, senza cercare un contatto telefonico o un interlocutore, senza chiedere nulla nè farsi sentire un po' ?
Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti.
Ora, non sarà mica come l'imprenditore che quando gli arriva la Guardia di Finanza, dice diamogli alla svelta quello che cercano (*) così non vanno a rovistare troppo nella mia ditta ?

(*)
PS: intendo informazioni, documenti contabili, ecc, non siate maliziosi

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)


Quoto tutto il pezzo qui sopra.
Premesso che la pecora nera può esserci ovunque, se nel municipio di Vergate sul Membro un impiegato annoiato inizia a chiedere ad una banca i cazzi dei vip utilizzando una PEC del comune, la banca glieli trasmette semplicemente perché la PEC è intestata ad un ente?
A sto punto basterebbe riuscire ad aprire una PEC sotto uno dei millemila enti locali italiani o europei per poter chiedere qualsiasi tipo di informazioni a chiunque. Assurdo.

Ma infatti la mia era una domanda seria. Quali sono le procedure in questi casi? veramente basta una PEC? ma soprattutto: ci sono delle procedure?

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.

Revolut è diffusa a livello mondiale e dovrebbero sapere, paese per paese, chi è autorizzato a chiedere cosa, molto nel dettaglio anche. Ad esempio la polizia locale e la polizia giudiziaria contengono entrambe la parola "polizia" nel loro nome ma sono due cose un po' diverse... Spero che abbiano qualche tipo di consulente che sappia ste cose...

i vostri post mi fanno pensareanche il tuo

Premetto che secondo me dal punto di vista aziendale ha sbagliato al 100% Revolut.si, quindi?

[...]Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti. non stenterei a credere che sia semplicemente un atto informale per riuscire a venirne a capo dal ginepraio che sono le leggi finanziarie italiane.

Ora, non sarà mica come l'imprenditore che quando gli arriva la Guardia di Finanza, dice diamogli alla svelta quello che cercano così non vanno a rovistare troppo nella mia ditta ?mi chiedo cosa ci sarebbe di male che un imprenditore abbia scaga se arrivano a frugare nella sua ditta, è pienamente comprensibile visto che "un modo anche creativo per inq_larti lo trovano in ogni caso"

e comunque

come già spiegato, hanno modificato delle regole a livello europeo semplificando l'iter di richiesta, evidentemente nessuno si aspettava che la polizia stessa si facesse fregare le credenziali PEC quando hanno ammorbidito le procedure. Revolut ha seguito delle istruzioni, spiegando anche come fare correttamente la richiesta a loro stessi alla finta polizia

percarità, certamente una leggerezza, ma seriamente non capisco perché in tanti poniate piu in alto il livello di gravità (compreso ou fenomeno Piantedosi) dell'operato di una banca, rispetto a quello di un apparato statale, addetto pure alla sicurezza:
Se non sono cliente Revolut, a me la banca in questione non deve nulla, puo anche sparire in un buco nero e non interessarmi. E se proprio sono interessato della cosa, posso fare causa a Revolut per danni e si vedrà in sede giudiziara come e quanto.

non mi pare di poter dire le stesse cose di un apparato di sicurezza dello Stato, che a me come cittadino deve tutto il suo operato, dalla A alla Z.



...basterebbe riuscire ad aprire una PEC sotto uno dei millemila enti locali italiani o europei per poter chiedere qualsiasi tipo di informazioni a chiunque. Assurdo.
evidentemente non è questo il caso, non era certo l'ente per la preservazione del tradizionale ballo della taranta a chiedere i dati

Ma infatti la mia era una domanda seria. Quali sono le procedure in questi casi? veramente basta una PEC? ma soprattutto: ci sono delle procedure?

Sicuramente ci sono ma mi dà l'idea che non tutti le sappiano...

Il primo dubbio a chi riceve in banca una simile richiesta è prima di tutto:"È delegato a quella richiesta?"
Secondo dubbio:" Una richiesta massiva di dati di correntisti?"
5 email ogni giorno, per 150 giorni, dalla stessa email che mi chiedono sempre le stesse cose sui miei correntisti?
E dopo 5 mesi contattano le autorità per chiedere chiarimenti?
Facciamo con calma, mi raccomando.

La società doveva verificare la PEC
E invece, stando ai nuovi termini di servizio, ora la società verifica la versione e le patch del sistema operativo dei clienti :O

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)

Da questo caso è evidente come Revolut, come tanti altri soggetti Fintech, pensa che basta aprire un sito tradotto in lingua locale per poter operare in ITalia o qualsiasi altro paese EU. Certamente si vedrà che, dal punto di vista interno, non ha un ufficio con le competenze e dimensioni per gestire le richieste delle autorità giudiziarie quando esse siano legittime.

E mi fermo qui...

Quoto e fra l'altro hanno chiesto dati pure di persone non italiane e questi scappati di casa hanno inviato tutto senza manco pensare...

percarità, certamente una leggerezza, ma seriamente non capisco perché in tanti poniate piu in alto il livello di gravità (compreso ou fenomeno Piantedosi) dell'operato di una banca, rispetto a quello di un apparato statale, addetto pure alla sicurezza:

Già detto
Perfino il più umile commercialista di provincia mantiene relazioni e rapporti di (si spera) reciproca collaborazione con gli uffici dei vari enti di controllo

Forse non lo capisci perchè la butti in politica, ma non è che se Piantedosi dice che l'acqua è bagnata, allora deve diventare asciutta :D

evidentemente non è questo il caso, non era certo l'ente per la preservazione del tradizionale ballo della taranta a chiedere i dati

Non ci scommetterei più di qualche euro sul fatto che non glieli avrebbero trasmessi comunque.

Quoto e fra l'altro hanno chiesto dati pure di persone non italiane e questi scappati di casa hanno inviato tutto senza manco pensare...

Infatti, anche di gente famosa. Nulla di sospetto se a farti richieste del genere è la prefettura della internazionalissima Reggio Calabria :O

Perchè è corsa a fornire i dati, senza cercare un contatto telefonico o un interlocutore, senza chiedere nulla nè farsi sentire un po' ?

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC

vedrai che se si finisce in tribunale non potranno che dare ragione a Revolut


Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti.


E questa convivenza è la radice di tutti i mali italiani. Sarebbero molto meglio dei rapporti si collaborativi ma formali, non conosco uno all ade che mi può dare una dritta...

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC

vedrai che se si finisce in tribunale non potranno che dare ragione a Revolut


Non credo Revolut possa vincere in tribunale, il GDPR impone dei controlli ulteriori in casi del genere, dovresti avere una procedura apposita di "riconferma" ed è stranissimo che una banca non l'abbia.


E questa convivenza è la radice di tutti i mali italiani. Sarebbero molto meglio dei rapporti si collaborativi ma formali, non conosco uno all ade che mi può dare una dritta...

non di tutti, ma sicuramente di molti.

cmq ancora nessuno che sappia quali siano queste procedure.

detto ciò, la storia che uno deve avere un interlocutore per chiedere chiarimenti non regge, non esiste! ogni volta che una qualsiasi procura fa una richiesta a una banca, questa dovrebbe poi fare una telefonata per vedere se la PEC è vera? A sto punto torniamo ai fax e al telegramma! Ci devono essere delle procedure informatizzate per fare queste cose, dài.

inoltre metti che la banca ha più operatori a fare questa cosa, non è che uno sa cosa faccia l'altro e quindi si riesca a capire che ci sono state 10 richieste simili. Tra l'altro è perfettamente verosimile che nel corso di una indagine la procura chieda dettagli su 3-4 persone e dopo qualche giorno vengano fuori altri collegamenti e si chiedano dati su altre persone.

Ripeto, non voglio difendere Revolut perché in questi casi la responsabilità non è mai 100% di una parte... ma per lo stesso motivo non sarà 100% di Revolut! tanto più che non sono loro coloro cui hanno rubato le credenziali della PEC, quindi pronti-via il primo sul banco degli imputati (e non sto dicendo che è colpevole) è la procura.

cmq ancora nessuno che sappia quali siano queste procedure.

A quanto pare nemmeno in Revolut le sapevano...speriamo che almeno ora le creino o le comunichino ai dipendenti.

detto ciò, la storia che uno deve avere un interlocutore per chiedere chiarimenti non regge, non esiste! ogni volta che una qualsiasi procura fa una richiesta a una banca, questa dovrebbe poi fare una telefonata per vedere se la PEC è vera? A sto punto torniamo ai fax e al telegramma! Ci devono essere delle procedure informatizzate per fare queste cose, dài.

Protesta con il GDPR, le regole sono queste, e non precisano debba essere una telefonata.

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC


E non conta chi manda questa PEC e cosa ti sta chiedendo?

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC

vedrai che se si finisce in tribunale non potranno che dare ragione a Revolut

Equivalente manco per niente
Quando ricevo una raccomandata dalla GDF, rispedisco una altra raccomandata alla GDF, e poi loro internamente si arrangiano.
Non c'è, spero, qualche hacker inquattato negli uffici che si frega la mia raccomandata.

Semmai è questo il problema: qualche ragazzino della Generazione Z, di quelli col telefonino sempre in mano, che pensa che sia equivalente.
Cazzi loro. E cazzi dei clienti.


E questa convivenza è la radice di tutti i mali italiani. Sarebbero molto meglio dei rapporti si collaborativi ma formali, non conosco uno all ade che mi può dare una dritta...
Infatti non sono tentuti a darti nessuna dritta, sei tu che devi conoscere le norme.
E io parlavo proprio di rapporti collaborativi e formali, non so cosa ha inteso tu.

Ma essendo io utente Revolut (per ora non con accredito dello stipendio) si può sapere le persone coinvolte?

Ma se io ente, per OGNI pec che mi arriva mi devo sbattere per verificarla, allora la PEC stessa che ragione ha di esistere ? Se è già nata per "essere sicura", a quel punto per assurdo dovrei accertarmi di persona per ogni firma digitale, chiamare il firmatario e chiedergli "hey scusa, sei stato proprio tu a firmare quel documento o ti hanno hackerato/rubato la tessera firma o quel che è ?".

Ma se io ente, per OGNI pec che mi arriva mi devo sbattere per verificarla, allora la PEC stessa che ragione ha di esistere ? Se è già nata per "essere sicura", a quel punto per assurdo dovrei accertarmi di persona per ogni firma digitale, chiamare il firmatario e chiedergli "hey scusa, sei stato proprio tu a firmare quel documento o ti hanno hackerato/rubato la tessera firma o quel che è ?".
"nata per essere sicura" ma quando mai ? :D
Attesta la avvenuta ricezione e basta.

"nata per essere sicura" ma quando mai ? :D
Attesta la avvenuta ricezione e basta.

Sulla carta si, ma a quel punto basta il semplice flag per avere la ricevuta di consegna dalle mail classiche, a che serve la PEC ? Era stata venduta come la "versione digitale di una raccomandata". Ha senso di esistere ora come ora ? Hanno pure cominciato a girarci gli spam. Io ce l'ho perchè obbligato in quanto p.iva, ma la uso praticamente ZERO, con commercialista ed altri uso ma mail standard, con inps e stato mi arrivano le notifiche sull'app IO oppure sulla mail base mi arriva notifica di avviso e verificare sul sito agenzia entrate nel mio cassetto fiscale o quel che è.

Forse non è chiara una cosa: non c'entra nulla che la richiesta sia stata inviata via PEC. Poteva anche essere stata inviata in forma cartacea oppure attraverso un messaggero che la portasse a mano.

Il tema primario è che Revolut non doveva rispondere alla richiesta di un ente che, nel diritto italiano, non è titolato a richiedere quei dati.

Ogni paese EU e nel mondo ha le proprie regole. Come detto da qualcuno prima, può anche arrivarti la PEC dall'ufficio della polizia locale di qualche sperduto paesino di uno qualsiasi degli stati EU. PEC inviata da un soggetto che legittimanente può inviarle, ma che non può richiedere informazioni di quel genere

Nelle banche serie, ci sono uffici preposti alla gestione delle richieste da parte delle autorità giudiziarie, sia provenienti dal proprio paese che estere. Anche perchè, se la banca invia dati a destra e manca, il cliente può legittimamente chiedere i danni.

Ci possono essere anche richieste fatte legittimamente (?) da organi governativi, ma che semplicemente non ottengono risposta, perchè magari chi deve rispondere vuole un ordine giudiziario e non una semplice richiesta.

Revolut in questo caso ha risposto e basta, senza fare analisi sulla richiesta, su una lista massiva di clienti facoltosi, senza fare alcun approfondimento. Fossi Bankit / BCE, farei una bella ispezione su come Revolut gestisce tali richieste

Qualcuno ha scritto che, forse, chi ha gestito la richiesta era un ragazzino brufoloso che ha letto la richiesta sul suo smartphone e attinto, sempre via smartphone, all'archivio aziendale per recuperare le informazioni richieste e rispondere al mittente. Diciamo che spero che non sia lo scenario reale....
.... ma non sarei meravigliato se fosse lo scenario realmente avvenuto.

Ma infatti la mia era una domanda seria. Quali sono le procedure in questi casi? veramente basta una PEC? ma soprattutto: ci sono delle procedure?

Risposta sintetica: in ogni banca seria con una supervisione seria fatta da parte di un Regolatore / Supervisore serio, ci sono uffici preposti per valutare ogni singola richiesta. Lavoro pesante e complesso, con persone specializzate, pagate ben più di un impiegato amministrativo

Forse non è chiara una cosa: non c'entra nulla che la richiesta sia stata inviata via PEC. Poteva anche essere stata inviata in forma cartacea oppure attraverso un messaggero che la portasse a mano.

Il tema primario è che Revolut non doveva rispondere alla richiesta di un ente che, nel diritto italiano, non è titolato a richiedere quei dati.

Ogni paese EU e nel mondo ha le proprie regole. Come detto da qualcuno prima, può anche arrivarti la PEC dall'ufficio della polizia locale di qualche sperduto paesino di uno qualsiasi degli stati EU. PEC inviata da un soggetto che legittimanente può inviarle, ma che non può richiedere informazioni di quel genere

Nelle banche serie, ci sono uffici preposti alla gestione delle richieste da parte delle autorità giudiziarie, sia provenienti dal proprio paese che estere. Anche perchè, se la banca invia dati a destra e manca, il cliente può legittimamente chiedere i danni.

Ci possono essere anche richieste fatte legittimamente (?) da organi governativi, ma che semplicemente non ottengono risposta, perchè magari chi deve rispondere vuole un ordine giudiziario e non una semplice richiesta.

Revolut in questo caso ha risposto e basta, senza fare analisi sulla richiesta, su una lista massiva di clienti facoltosi, senza fare alcun approfondimento. Fossi Bankit / BCE, farei una bella ispezione su come Revolut gestisce tali richieste

Qualcuno ha scritto che, forse, chi ha gestito la richiesta era un ragazzino brufoloso che ha letto la richiesta sul suo smartphone e attinto, sempre via smartphone, all'archivio aziendale per recuperare le informazioni richieste e rispondere al mittente. Diciamo che spero che non sia lo scenario reale....
.... ma non sarei meravigliato se fosse lo scenario realmente avvenuto.

:mano:

Una Procura della Repubblica è titolata a chiedere dati sensibili e dettagliati sui conti correnti. Non esiste segreto bancario, almeno in Italia, che possa essere opposto all'operato di un PM.
Lo strumento è il Decreto di Esibizione e Consegna (Art. 248 c.p.p.), presentato tramite la polizia giudiziaria.

fonte: AI :sofico:

Una Procura della Repubblica è titolata a chiedere dati sensibili e dettagliati sui conti correnti. Non esiste segreto bancario, almeno in Italia, che possa essere opposto all'operato di un PM.
Lo strumento è il Decreto di Esibizione e Consegna (Art. 248 c.p.p.), presentato tramite la polizia giudiziaria.

fonte: AI :sofico:

Procura e prefettura sono due cose completamente diverse.
Fonte: lo sanno tutti

Una Procura della Repubblica è titolata a chiedere dati sensibili e dettagliati sui conti correnti. Non esiste segreto bancario, almeno in Italia, che possa essere opposto all'operato di un PM.
Lo strumento è il Decreto di Esibizione e Consegna (Art. 248 c.p.p.), presentato tramite la polizia giudiziaria.

fonte: AI :sofico:

Premesso che il caso Revolut non è stato originato da un decreto prodotto da una Procura, prova a far mandare un decreto a un soggetto estero con l'ORDINE di presentare materiale e altro

Esiste il regime delle rogatorie estere per gestire tali pratiche.

fonte: vai a studiare