Caso Revolut, Piantedosi alla Camera: 'La società doveva verificare la PEC'

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...ec_160006.html

Matteo Piantedosi ha riferito alla Camera sul data breach Revolut: la fintech avrebbe dovuto verificare la PEC della Prefettura di Reggio Calabria. Ma restano dubbi sui 147 GB di dati delle forze dell'ordine finiti nelle mani degli attaccanti

Click sul link per visualizzare la notizia.

[jepessen]

L'ho sempre detto che lo sport nazionale italiano non e' il calcio, ma lo scaricabarile...

[gparlav]

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)

Da questo caso è evidente come Revolut, come tanti altri soggetti Fintech, pensa che basta aprire un sito tradotto in lingua locale per poter operare in ITalia o qualsiasi altro paese EU. Certamente si vedrà che, dal punto di vista interno, non ha un ufficio con le competenze e dimensioni per gestire le richieste delle autorità giudiziarie quando esse siano legittime.

E mi fermo qui...

[metrino]

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.

[barzokk]

Originariamente inviato da metrino

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.

i vostri post mi fanno pensare
Premetto che secondo me dal punto di vista aziendale ha sbagliato al 100% Revolut.
Perchè è corsa a fornire i dati, senza cercare un contatto telefonico o un interlocutore, senza chiedere nulla nè farsi sentire un po' ?
Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti.
Ora, non sarà mica come l'imprenditore che quando gli arriva la Guardia di Finanza, dice diamogli alla svelta quello che cercano (*) così non vanno a rovistare troppo nella mia ditta ?

(*)
PS: intendo informazioni, documenti contabili, ecc, non siate maliziosi

[Doraneko]

Originariamente inviato da gparlav

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)

Quoto tutto il pezzo qui sopra.
Premesso che la pecora nera può esserci ovunque, se nel municipio di Vergate sul Membro un impiegato annoiato inizia a chiedere ad una banca i cazzi dei vip utilizzando una PEC del comune, la banca glieli trasmette semplicemente perché la PEC è intestata ad un ente?
A sto punto basterebbe riuscire ad aprire una PEC sotto uno dei millemila enti locali italiani o europei per poter chiedere qualsiasi tipo di informazioni a chiunque. Assurdo.

[metrino]

Ma infatti la mia era una domanda seria. Quali sono le procedure in questi casi? veramente basta una PEC? ma soprattutto: ci sono delle procedure?

[Doraneko]

Originariamente inviato da metrino

conosci per caso le procedure con cui ci si scambia questi dati? le regole di ingaggio? PEC = Posta Elettronica Certificata. A meno che non ci sia stato un camuffamento completo, quella email proveniva da un soggetto già verificato a monte, come e più di quanto potesse fare revolut stessa. Cosa ci si aspetta da una banca quando questa riceve una richiesta da una pec istituzionale? come fa a fare ulteriori controlli?
con questo non voglio dire che Revolut abbia perfettamente ragione, c'erano forse gli elementi per insospettirsi. Tuttavia le "giustificazioni" di Piantedosi , se sono quelle qui riportate, sono pressoché inutili


Adesso stiamo cerando di chiudere la stalla dopo che buoi sono scappati.

Revolut è diffusa a livello mondiale e dovrebbero sapere, paese per paese, chi è autorizzato a chiedere cosa, molto nel dettaglio anche. Ad esempio la polizia locale e la polizia giudiziaria contengono entrambe la parola "polizia" nel loro nome ma sono due cose un po' diverse... Spero che abbiano qualche tipo di consulente che sappia ste cose...

[benderchetioffender]

Originariamente inviato da barzokk

i vostri post mi fanno pensare

anche il tuo

Premetto che secondo me dal punto di vista aziendale ha sbagliato al 100% Revolut.

si, quindi?

[...]Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti.

non stenterei a credere che sia semplicemente un atto informale per riuscire a venirne a capo dal ginepraio che sono le leggi finanziarie italiane.

Ora, non sarà mica come l'imprenditore che quando gli arriva la Guardia di Finanza, dice diamogli alla svelta quello che cercano così non vanno a rovistare troppo nella mia ditta ?

mi chiedo cosa ci sarebbe di male che un imprenditore abbia scaga se arrivano a frugare nella sua ditta, è pienamente comprensibile visto che "un modo anche creativo per inq_larti lo trovano in ogni caso"

e comunque

come già spiegato, hanno modificato delle regole a livello europeo semplificando l'iter di richiesta, evidentemente nessuno si aspettava che la polizia stessa si facesse fregare le credenziali PEC quando hanno ammorbidito le procedure. Revolut ha seguito delle istruzioni, spiegando anche come fare correttamente la richiesta a loro stessi alla finta polizia

percarità, certamente una leggerezza, ma seriamente non capisco perché in tanti poniate piu in alto il livello di gravità (compreso ou fenomeno Piantedosi) dell'operato di una banca, rispetto a quello di un apparato statale, addetto pure alla sicurezza:
Se non sono cliente Revolut, a me la banca in questione non deve nulla, puo anche sparire in un buco nero e non interessarmi. E se proprio sono interessato della cosa, posso fare causa a Revolut per danni e si vedrà in sede giudiziara come e quanto.

non mi pare di poter dire le stesse cose di un apparato di sicurezza dello Stato, che a me come cittadino deve tutto il suo operato, dalla A alla Z.

Originariamente inviato da Doraneko

...basterebbe riuscire ad aprire una PEC sotto uno dei millemila enti locali italiani o europei per poter chiedere qualsiasi tipo di informazioni a chiunque. Assurdo.

evidentemente non è questo il caso, non era certo l'ente per la preservazione del tradizionale ballo della taranta a chiedere i dati

[Doraneko]

Originariamente inviato da metrino

Ma infatti la mia era una domanda seria. Quali sono le procedure in questi casi? veramente basta una PEC? ma soprattutto: ci sono delle procedure?

Sicuramente ci sono ma mi dà l'idea che non tutti le sappiano...

[Mparlav]

Il primo dubbio a chi riceve in banca una simile richiesta è prima di tutto:"È delegato a quella richiesta?"
Secondo dubbio:" Una richiesta massiva di dati di correntisti?"
5 email ogni giorno, per 150 giorni, dalla stessa email che mi chiedono sempre le stesse cose sui miei correntisti?
E dopo 5 mesi contattano le autorità per chiedere chiarimenti?
Facciamo con calma, mi raccomando.

[virtualdj]

Originariamente inviato da Matteo Piantedosi

La società doveva verificare la PEC

E invece, stando ai nuovi termini di servizio, ora la società verifica la versione e le patch del sistema operativo dei clienti

[Zappz]

Originariamente inviato da gparlav

Nel caso in oggetto, le responsabilità maggiori sono, IMHO, di Revolut

E' il singolo soggetto che deve verificare la veridicità e coerenza delle informazioni richieste da un soggetto ufficiale.

Nel caso in questione, un soggetto amministrativo come la questura / prefettura (di qualunque provincia sia), non è titolato a richiedere informazioni su soggetti privati. Lo può fare solo un'autorità giudiziaria e/o ufficiali di polizia giudiziaria delegati dall'autorità giudiziaria

Soprattutto quando la richiesta è massiva (680 soggetti)

Da questo caso è evidente come Revolut, come tanti altri soggetti Fintech, pensa che basta aprire un sito tradotto in lingua locale per poter operare in ITalia o qualsiasi altro paese EU. Certamente si vedrà che, dal punto di vista interno, non ha un ufficio con le competenze e dimensioni per gestire le richieste delle autorità giudiziarie quando esse siano legittime.

E mi fermo qui...

Quoto e fra l'altro hanno chiesto dati pure di persone non italiane e questi scappati di casa hanno inviato tutto senza manco pensare...

[barzokk]

Originariamente inviato da benderchetioffender

percarità, certamente una leggerezza, ma seriamente non capisco perché in tanti poniate piu in alto il livello di gravità (compreso ou fenomeno Piantedosi) dell'operato di una banca, rispetto a quello di un apparato statale, addetto pure alla sicurezza:

Già detto
Perfino il più umile commercialista di provincia mantiene relazioni e rapporti di (si spera) reciproca collaborazione con gli uffici dei vari enti di controllo

Forse non lo capisci perchè la butti in politica, ma non è che se Piantedosi dice che l'acqua è bagnata, allora deve diventare asciutta

[Doraneko]

Originariamente inviato da benderchetioffender

evidentemente non è questo il caso, non era certo l'ente per la preservazione del tradizionale ballo della taranta a chiedere i dati

Non ci scommetterei più di qualche euro sul fatto che non glieli avrebbero trasmessi comunque.

[Doraneko]

Originariamente inviato da Zappz

Quoto e fra l'altro hanno chiesto dati pure di persone non italiane e questi scappati di casa hanno inviato tutto senza manco pensare...

Infatti, anche di gente famosa. Nulla di sospetto se a farti richieste del genere è la prefettura della internazionalissima Reggio Calabria

[An.tani]

Originariamente inviato da barzokk

Perchè è corsa a fornire i dati, senza cercare un contatto telefonico o un interlocutore, senza chiedere nulla nè farsi sentire un po' ?

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC

vedrai che se si finisce in tribunale non potranno che dare ragione a Revolut

Originariamente inviato da barzokk

Perfino il commercialista più sgangherato ha contatti in AdE con cui parlare per i casini dei clienti.

E questa convivenza è la radice di tutti i mali italiani. Sarebbero molto meglio dei rapporti si collaborativi ma formali, non conosco uno all ade che mi può dare una dritta...

[ferste]

Originariamente inviato da An.tani

Perchè ha ricevuto una PEC, l'equivalente di una raccomandata che intimava di fornire i dati.
Verificata che la PEC abbia la corretta firma digitale la PEC è da ritenersi autentica, non sta a chi la riceve pensare che in procura siano così furbi da farsi hackerare la PEC

vedrai che se si finisce in tribunale non potranno che dare ragione a Revolut

Non credo Revolut possa vincere in tribunale, il GDPR impone dei controlli ulteriori in casi del genere, dovresti avere una procedura apposita di "riconferma" ed è stranissimo che una banca non l'abbia.

E questa convivenza è la radice di tutti i mali italiani. Sarebbero molto meglio dei rapporti si collaborativi ma formali, non conosco uno all ade che mi può dare una dritta...

non di tutti, ma sicuramente di molti.

[metrino]

cmq ancora nessuno che sappia quali siano queste procedure.

detto ciò, la storia che uno deve avere un interlocutore per chiedere chiarimenti non regge, non esiste! ogni volta che una qualsiasi procura fa una richiesta a una banca, questa dovrebbe poi fare una telefonata per vedere se la PEC è vera? A sto punto torniamo ai fax e al telegramma! Ci devono essere delle procedure informatizzate per fare queste cose, dài.

inoltre metti che la banca ha più operatori a fare questa cosa, non è che uno sa cosa faccia l'altro e quindi si riesca a capire che ci sono state 10 richieste simili. Tra l'altro è perfettamente verosimile che nel corso di una indagine la procura chieda dettagli su 3-4 persone e dopo qualche giorno vengano fuori altri collegamenti e si chiedano dati su altre persone.

Ripeto, non voglio difendere Revolut perché in questi casi la responsabilità non è mai 100% di una parte... ma per lo stesso motivo non sarà 100% di Revolut! tanto più che non sono loro coloro cui hanno rubato le credenziali della PEC, quindi pronti-via il primo sul banco degli imputati (e non sto dicendo che è colpevole) è la procura.

[ferste]

Originariamente inviato da metrino

cmq ancora nessuno che sappia quali siano queste procedure.

A quanto pare nemmeno in Revolut le sapevano...speriamo che almeno ora le creino o le comunichino ai dipendenti.

detto ciò, la storia che uno deve avere un interlocutore per chiedere chiarimenti non regge, non esiste! ogni volta che una qualsiasi procura fa una richiesta a una banca, questa dovrebbe poi fare una telefonata per vedere se la PEC è vera? A sto punto torniamo ai fax e al telegramma! Ci devono essere delle procedure informatizzate per fare queste cose, dài.

Protesta con il GDPR, le regole sono queste, e non precisano debba essere una telefonata.