Revolut è al centro di un caso di sicurezza informatica che riaccende l’attenzione sulla protezione dei dati nel settore fintech. Secondo le informazioni disponibili, la società avrebbe trasferito dati personali e finanziari di un numero limitato di clienti — fino a circa 680 — a criminali che si erano presentati come rappresentanti dell’autorità pubblica.
Il caso non riguarda un attacco diretto ai sistemi interni di Revolut né, sulla base degli elementi emersi, la sottrazione del denaro depositato dagli utenti. Il problema avrebbe invece coinvolto una procedura di richiesta dati manipolata attraverso una casella di posta elettronica certificata, o PEC, appartenente alla Prefettura di Reggio Calabria.
Revolut conta oltre 80 milioni di clienti a livello globale, di cui circa 5 milioni in Italia. L’episodio assume quindi un rilievo significativo per il comparto finanziario digitale, anche se il numero di persone coinvolte rappresenterebbe una quota molto ridotta rispetto alla base clienti complessiva.
Come funziona la frode
Gli autori dell’operazione avrebbero compromesso la casella PEC della prefettura e utilizzato l’indirizzo istituzionale per inviare a Revolut richieste apparentemente legittime, motivate da esigenze giudiziarie e antifrode.
La tecnica è riconducibile alla cosiddetta impersonificazione di autorità: l’aggressore non si presenta semplicemente come un soggetto credibile, ma assume l’identità digitale di un ente pubblico. In questo modo può sfruttare la fiducia associata al dominio istituzionale e alla validità legale della PEC.
Convinta dell’autenticità delle comunicazioni, Revolut avrebbe fornito informazioni raccolte durante l’apertura dei conti e nell’ambito degli obblighi antiriciclaggio, tra cui:
- dati anagrafici e documenti d’identità;
- IBAN e informazioni bancarie;
- selfie utilizzati per la verifica dell’identità;
- cronologia delle transazioni;
- operazioni relative anche a Bitcoin.
Questi dati non costituiscono necessariamente una password o una chiave di accesso ai conti, ma possono essere sfruttati per furti d’identità, campagne di phishing mirato, truffe finanziarie e tentativi di apertura fraudolenta di rapporti bancari.
Che cosa significa “Man in the Mail”
L’attacco è stato descritto da alcuni esperti come un caso di Man in the Mail, una variante delle frodi basate sulla manipolazione della posta elettronica.
Il principio è simile a quello di un “uomo nel mezzo”: il criminale si inserisce nella comunicazione tra due soggetti — in questo caso un’autorità pubblica e un intermediario finanziario — alterando il contesto e facendo apparire autentica una richiesta fraudolenta.
La vicenda evidenzia un punto importante: un messaggio proveniente da una PEC valida può avere valore legale, ma ciò non significa automaticamente che sia stato scritto dalla persona autorizzata a utilizzare quella casella. La sicurezza dell’infrastruttura non elimina, da sola, il rischio di compromissione dell’account.
La risposta di Revolut
Revolut avrebbe sospeso le attività sospette dopo aver individuato le comunicazioni fraudolente e avrebbe contattato la Prefettura di Reggio Calabria, che ha negato di aver inviato le richieste.
La fintech ha inoltre informato direttamente i clienti interessati, offrendo supporto e comunicando la segnalazione dell’incidente alle autorità competenti. Il 15 settembre l’Information Commissioner’s Office, l’autorità britannica per la protezione dei dati, ha aperto un’indagine per verificare la dinamica dell’accaduto e le eventuali responsabilità.
Le prime ricostruzioni sono state riportate anche da testate internazionali come Financial Times e Reuters. L’indagine dovrà stabilire, tra gli altri aspetti, quali controlli siano stati applicati prima della trasmissione dei dati e se le procedure interne fossero adeguate al livello di rischio.
Gli hacker e le accuse alle istituzioni
La vicenda presenta anche un secondo elemento, ancora da verificare. Un gruppo di hacker che opera con lo pseudonimo “iamnotavillain” sostiene di aver compromesso per circa sei mesi sistemi riconducibili anche alle forze dell’ordine italiane, compresa la polizia postale.
Il gruppo afferma di aver sottratto decine di gigabyte di materiale, tra messaggi e documenti giudiziari. Secondo gli hacker, le informazioni dimostrerebbero criticità nelle modalità con cui Revolut gestisce le richieste delle autorità e nel trasferimento dei dati verso giurisdizioni esterne.
Si tratta, tuttavia, di dichiarazioni degli stessi aggressori e dovranno essere confermate dagli accertamenti ufficiali. Per questo è essenziale distinguere tra dati già comunicati da Revolut, ricostruzioni giornalistiche e rivendicazioni non ancora validate.
Implicazioni per clienti e investitori
Per gli utenti coinvolti il rischio principale non sembra essere, al momento, l’accesso diretto al saldo del conto, bensì l’utilizzo combinato di dati personali, documenti e informazioni finanziarie per truffe più sofisticate.
Chi riceve una comunicazione relativa all’incidente dovrebbe verificare il mittente attraverso i canali ufficiali di Revolut, evitare di condividere ulteriori codici o credenziali e prestare attenzione a telefonate, SMS o email che richiamano la notifica ricevuta.
Per il settore fintech, il caso mostra che la sicurezza non dipende soltanto da firewall, autenticazione e protezione dei server. Anche i processi operativi, le verifiche delle richieste istituzionali e la gestione degli obblighi KYC (Know Your Customer), cioè identificazione e verifica del cliente, possono diventare punti vulnerabili.
Per gli investitori, l’episodio rappresenta soprattutto un rischio reputazionale e regolamentare. L’impatto economico dipenderà dagli esiti delle indagini, dall’eventuale presenza di ulteriori clienti coinvolti e dalle misure che Revolut dovrà adottare per rafforzare i controlli.
Un avvertimento per il sistema finanziario digitale
Il caso Revolut dimostra che anche un canale considerato sicuro può essere sfruttato se l’identità del titolare della casella viene compromessa. La risposta più efficace richiede quindi controlli multilivello: verifica indipendente dell’autorità richiedente, conferma attraverso un secondo canale, analisi del comportamento della richiesta e accesso limitato ai soli dati necessari.
Mentre le indagini proseguono, la vicenda pone una domanda centrale per banche, fintech e istituzioni: come conciliare la rapidità delle procedure digitali con la necessità di verificare ogni richiesta di dati sensibili? La risposta potrebbe incidere sulla fiducia dei consumatori e sull’evoluzione della regolamentazione europea in materia di sicurezza e protezione dei dati.
(Redazione)
Questo articolo è stato creato con l'ausilio di un sistema di AI, dietro supervisione e controllo della nostra redazione, con lo scopo di arricchire dati e informazioni.