Il caso Revolut accende un allarme che va oltre una singola banca digitale: secondo le ricostruzioni giornalistiche, una PEC istituzionale italiana compromessa sarebbe stata usata per presentare richieste apparentemente ufficiali e ottenere dati personali e bancari di circa 680 clienti. La società ha precisato che i fondi e i sistemi interni non sarebbero stati toccati, ma il punto critico resta enorme: quando un canale pubblico considerato affidabile viene abusato, anche procedure pensate per collaborare con le autorità possono trasformarsi in una porta d’ingresso per frodi e furti di identità.
Perché il caso pesa anche in Italia
La notizia è rilevante per il pubblico italiano perché la leva usata dagli aggressori non sarebbe stata una semplice email anonima, ma un indirizzo riconducibile a un dominio istituzionale. In pratica, il raggiro avrebbe sfruttato la fiducia tecnica e giuridica collegata alla posta elettronica certificata, canale che aziende, professionisti e pubbliche amministrazioni utilizzano ogni giorno per comunicazioni con valore legale.
Secondo quanto riportato da ANSA, sul caso indaga anche la Polizia postale per accesso abusivo a sistema informatico e frode informatica. La dinamica descritta è delicata: le richieste sarebbero apparse come comunicazioni ufficiali, firmate come se provenissero da forze dell’ordine, e avrebbero indotto la fintech a trasmettere informazioni riservate.
Il rischio principale, per gli utenti coinvolti, non è solo la perdita immediata di denaro. Revolut ha sostenuto che i fondi dei clienti non sono stati toccati. Il problema riguarda invece dati che possono diventare materia prima per nuovi attacchi: documenti, indirizzi, riferimenti bancari, cronologie di operazioni e altre informazioni personali possono rendere molto più credibili messaggi di phishing, chiamate truffa e tentativi di apertura di conti o servizi a nome della vittima.
Cosa avrebbero ottenuto gli hacker
Le ricostruzioni disponibili indicano un insieme di dati particolarmente sensibile: documenti di identità, indirizzi, informazioni su conti e movimenti. Sky TG24 parla di dati personali di quasi 700 clienti e cita la conferma di una truffa di impersonificazione esterna, nella quale un soggetto non autorizzato avrebbe usato un indirizzo appartenente a un dominio legittimo di un’agenzia governativa.
La differenza rispetto a un classico attacco contro i server bancari è sostanziale. Qui, per quanto emerso, non sarebbe stata violata direttamente l’infrastruttura di Revolut: gli aggressori avrebbero sfruttato una procedura di compliance, cioè la gestione delle richieste provenienti dalle autorità. Proprio per questo il caso fa rumore: se il mittente tecnico appare autentico, ma chi lo controlla non lo è, il controllo automatico sul dominio non basta.
È una lezione che riguarda banche, fintech, assicurazioni, operatori telefonici e qualunque soggetto che riceva richieste da amministrazioni pubbliche. La sicurezza non può fermarsi al fatto che una PEC arrivi da un dominio corretto: deve verificare anche contesto, firma, documentazione allegata, coerenza dell’ufficio richiedente e canali di conferma indipendenti.
Il rischio per clienti e aziende
Per un cliente avvisato da Revolut, la priorità è trattare ogni contatto successivo come potenzialmente sospetto. Chi possiede dati veri può costruire messaggi estremamente convincenti: può citare il nome corretto, un vecchio indirizzo, una parte di un documento o riferimenti a movimenti reali. È esattamente questo che rende pericolose le campagne di phishing mirato.
La regola pratica è semplice: non aprire link arrivati via SMS, email o chat quando promettono rimborsi, verifiche urgenti o blocchi del conto. Meglio entrare solo dall’app ufficiale o dal sito digitato manualmente, controllare eventuali avvisi dentro l’area personale e cambiare password dove la stessa combinazione fosse stata riutilizzata. Per importi sospetti, richieste di documenti o telefonate insistenti, conviene contattare l’assistenza tramite canali ufficiali e conservare prove dei messaggi ricevuti.
Per aziende e pubbliche amministrazioni, invece, la domanda è più ampia: quante caselle certificate sensibili sono protette con autenticazione forte, log controllati e revoche rapide in caso di compromissione? Il Codacons ha chiesto chiarimenti proprio sul perimetro delle PEC eventualmente violate e sull’eventuale presenza di dati di clienti italiani tra quelli consegnati.
Cosa cambia dopo il caso Revolut
Il caso potrebbe spingere gli intermediari finanziari a rafforzare le verifiche sulle richieste istituzionali, soprattutto quando riguardano grandi quantità di dati o profili ad alto rischio. Una PEC valida, da sola, non dovrebbe più bastare: servono controlli a più fattori anche nei rapporti tra enti, banche e autorità.
Un possibile effetto riguarda anche la reputazione della PEC. Il sistema resta centrale per le comunicazioni legali in Italia, ma l’episodio mostra che la fiducia nel canale dipende dalla sicurezza degli account che lo usano. Se una casella viene presa in mano da un criminale, il messaggio conserva un’apparenza di ufficialità che può ingannare procedure e persone.
Per questo la vicenda non va letta come un problema isolato di una fintech straniera. È un segnale per tutto l’ecosistema digitale: banche e piattaforme devono autenticare meglio le richieste, le amministrazioni devono proteggere meglio gli accessi e gli utenti devono aspettarsi una possibile ondata di truffe personalizzate.
Conclusioni finali
La truffa che ha coinvolto Revolut dimostra che il punto debole può trovarsi fuori dai sistemi della banca: in un’identità istituzionale abusata, in una PEC compromessa, in una procedura che considera sufficiente la provenienza tecnica del messaggio. Se i dati di circa 680 clienti sono davvero finiti in mani non autorizzate, il rischio continuerà nelle prossime settimane sotto forma di phishing, impersonificazioni e tentativi di frode. La risposta più concreta è doppia: più verifiche per chi tratta dati sensibili, più prudenza per chi riceve comunicazioni che sembrano ufficiali ma chiedono azioni urgenti.
Fonti
- ANSA – Pec italiana compromessa, Revolut consegna i dati dei clienti agli hacker
- Sky TG24 – Revolut, hacker hanno agito con una PEC italiana compromessa
- Corriere della Sera – Revolut, i dati dei clienti consegnati agli hacker
Leggi anche: Lusha sanzionata dal Garante: cosa rischiano i dati venduti
Leggi anche: Bonifici istantanei, frodi in calo: cosa cambia per chi paga
