Caso Revolut, attacco partito da una Pec della Prefettura di Reggio Calabria: otto italiani tra i 680 clienti coinvolti

20/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   L'ultimo episodio in ordine di tempo riporta al centro della scena la fragilità delle infrastrutture digitali pubbliche. I dati di 680 utenti della piattaforma finanziaria Revolut sono stati sottratti usando un indirizzo di posta elettronica certificata della prefettura di Reggio Calabria, a sua volta compromesso. Otto cittadini italiani figurano tra i clienti i cui dati personali e finanziari sono finiti nelle mani degli aggressori, che avrebbero sfruttato l'account istituzionale per presentarsi come autorità inquirenti e ottenere le informazioni dalla fintech britannica.

La vicenda, emersa nelle ultime settimane, ha spinto le autorità italiane ad alzare il livello di attenzione su un dossier che intreccia sicurezza cibernetica e tenuta dei protocolli di conformità.

La ricostruzione dell'incidente informatico

Secondo quanto riferito in Parlamento dalla sottosegretaria all'Interno Wanda Ferro, il 15 settembre Revolut ha confermato il data breach precisando di aver fornito i dati di 680 clienti, di cui soltanto otto italiani, e di aver avvisato i diretti interessati. La società ha segnalato la compromissione di un indirizzo di posta elettronica certificata riferibile alla prefettura di Reggio Calabria.

Il team Csirt Italia dell'Agenzia per la Cybersicurezza Nazionale ha potuto accertare quanto accaduto attraverso l'analisi di un campione fornito dalla stessa Revolut: si trattava di una delle email nelle quali gli attaccanti effettuavano le richieste fraudolente di informazioni. Revolut, dal canto suo, ha confermato di non aver ricevuto richieste di riscatto per i dati esfiltrati, mentre non risulterebbe alcuna violazione diretta dei sistemi della società né alcun coinvolgimento dei fondi depositati dai clienti.

Il gruppo che ha rivendicato l'operazione si identifica con il nome "IamNotAVillain" e, stando a quanto emerso, avrebbe chiesto un riscatto per evitare la pubblicazione del materiale sottratto. La vicenda ha assunto una dimensione internazionale sul fronte della protezione dei dati: Revolut ha informato l'Information Commissioner's Office britannico, che ha aperto un'indagine. Le informazioni sottratte includerebbero indirizzi di residenza, fotografie utilizzate per la verifica dell'identità, documenti di identificazione e dati relativi alle transazioni.

La maggior parte delle persone coinvolte risiederebbe in Francia e Svizzera, mentre altri clienti interessati si troverebbero in diversi Paesi europei.

Le verifiche delle autorità italiane

Sul dossier resta alta l'attenzione delle autorità italiane. "Banca d'Italia segue con attenzione l'evolversi della situazione", hanno riferito fonti dell'istituto centrale, confermando il monitoraggio su una vicenda complessa. Il fascicolo è aperto e le autorità di Via Nazionale stanno valutando anche la tenuta dei protocolli di conformità delle banche italiane. Del caso sono state informate la Polizia postale e la Direzione nazionale antimafia e antiterrorismo, mentre proseguono le interlocuzioni con Revolut per ricostruire con precisione la dinamica dell'accaduto.

L'indagine della Procura di Reggio Calabria dovrà stabilire se gli aggressori abbiano davvero avuto accesso a una casella di posta elettronica certificata riconducibile alla prefettura o ne abbiano soltanto simulato la provenienza per contattare i clienti a nome di Revolut. Nei sistemi del Viminale, al momento, non risulterebbe alcuna falla, il che allontanerebbe l'ipotesi di un presunto accesso diretto alle infrastrutture pubbliche italiane.

Resta da chiarire, invece, come gli attaccanti siano riusciti a ottenere l'accesso all'account di posta certificata o a riprodurne l'apparenza in modo sufficientemente credibile da indurre la piattaforma finanziaria a consegnare i dati richiesti.

Un fenomeno in crescita

L'episodio si inserisce in un quadro più ampio di crescenti attacchi informatici che sfruttano la posta elettronica certificata come vettore per ottenere accesso a informazioni riservate. Tra le oltre 3.000 campagne malevole registrate nel 2025 da Cert-AgID, il corpo deputato a supportare la pubblica amministrazione in materia di cybersicurezza, si è rilevato un aumento significativo dell'uso della Pec come strumento di attacco, quasi raddoppiato rispetto all'anno precedente.

Secondo i dati dell'Agenzia europea per la cybersicurezza, l'Italia si colloca al secondo posto in Europa per numero di incidenti nella pubblica amministrazione, con una quota del 26,3 per cento, subito dietro la Francia.

La vicenda Revolut ha spinto la Commissione europea a riflettere sull'opportunità di rafforzare i meccanismi di verifica delle richieste provenienti dalle autorità nazionali. Il regolamento europeo sull'e-Evidence, in vigore da agosto, consente a un'autorità di uno Stato membro di richiedere informazioni a un'azienda con sede in un altro Paese senza passare attraverso Europol o altri filtri. Una procedura che, se da un lato velocizza le indagini transfrontaliere, dall'altro espone le società a richieste potenzialmente fraudolente se non adeguatamente verificate.

Il caso ha inoltre acceso il dibattito sulla necessità di aumentare la sovranità digitale e l'indipendenza europea, inclusa la costruzione di data center e infrastrutture critiche sul territorio continentale.