Caso Revolut, la truffa partita dalla Pec della Prefettura e i rischi per i clienti

16/09/2026 SCIENZA E TECNOLOGIA Condividi Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Un gruppo di cybercriminali noto come IAmNotAVillain è riuscito a farsi consegnare da Revolut i dati personali e finanziari di 680 clienti, utilizzando un indirizzo di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria. L’indirizzo incriminato, entilocali.prefrc@pec.interno.it, è un canale istituzionale autentico, compromesso dai pirati informatici, che hanno sfruttato la fiducia riposta dalla banca britannica nelle comunicazioni provenienti da domini governativi verificati.

Secondo le ricostruzioni disponibili, i criminali si sono presentati come investigatori impegnati in un’indagine della Procura di Milano, inoltrando alla sede lituana di Revolut una richiesta formattata come Ordine Europeo di Indagine, lo strumento di cooperazione giudiziaria transfrontaliera disciplinato da una direttiva UE del 2014. La normativa impone agli istituti finanziari di collaborare prontamente con le forze dell’ordine, e comunicazioni provenienti da domini governativi certificati vengono trattate come vincolanti.

La truffa è proseguita per circa cinque mesi, con richieste scaglionate nel tempo, prima che la banca individuasse l’inganno e bloccasse l’indirizzo.

Diversi elementi avrebbero potuto insospettire gli addetti alla compliance: le richieste erano firmate a nome della Polizia Postale ma inviate tramite la PEC di una Prefettura, mentre l’organo di polizia dispone di canali propri; mancavano inoltre i decreti dell’autorità giudiziaria che normalmente accompagnano questo tipo di atti. In uno degli scambi documentati, Revolut avrebbe persino chiesto ai criminali di correggere l’intestazione di una mail, spiegando loro come compilare correttamente la richiesta per ottenere i dati.

Revolut ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna», precisando che i sistemi della banca e i fondi dei clienti non sono stati toccati. La società ha dichiarato di aver immediatamente bloccato l’indirizzo fraudolento, di aver informato l’agenzia governativa interessata, le autorità di contrasto, quelle per la protezione dei dati e di vigilanza finanziaria, e di aver contattato direttamente le persone coinvolte per fornire assistenza.

Sul caso indagano la Polizia Postale italiana per accesso abusivo a sistema informatico e frode informatica, e le autorità britanniche. Il Garante italiano per la protezione dei dati personali ha avviato una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane, per accertare se vi siano stati altri casi di tentata infiltrazione e per richiamare gli istituti a un controllo efficace. Anche l’autorità britannica per la privacy ha ricevuto una segnalazione dalla stessa Revolut.

I file consegnati comprendono dati anagrafici, indirizzi di residenza, numeri di telefono, copie di documenti d’identità come passaporti e patenti, fotografie utilizzate per la verifica del riconoscimento facciale, estratti conto e cronologia delle transazioni, incluse quelle in criptovalute. Tra i clienti coinvolti figurano personalità di alto profilo, come il tennista Aleksandr Shevchenko, il CEO di Gamdom Felix Römer e Mark Karpelès, ex amministratore delegato della piattaforma di criptovalute Mt. Gox.

Revolut ha confermato che password e credenziali di accesso ai conti non sono state interessate dalla violazione, escludendo al momento il rischio che qualcuno possa introdursi negli account bancari e prosciugare i fondi degli utenti. Tuttavia, la quantità e la sensibilità dei dati sottratti aprono scenari di rischio per le vittime: documenti e informazioni anagrafiche possono essere utilizzati per furti d’identità, apertura di conti o stipula di contratti e finanziamenti a nome della persona colpita.

Il caso ha riacceso il dibattito sulla sicurezza della posta elettronica certificata. Secondo Paolo Dal Checco, perito informatico forense, il paradosso storico della PEC è che è possibile registrare una casella con un nome arbitrario senza che il gestore blocchi l’operazione in mancanza di un titolo reale. Se il destinatario non effettua un controllo incrociato sui registri ufficiali, come l’Indice dei domicili digitali della Pubblica Amministrazione o l’INI-PEC per le imprese, rischia di scambiare un indirizzo truffaldino per un canale ufficiale.

Dal Checco ha anche evidenziato una criticità nelle procedure di invio dei file cifrati: se la password per aprire un allegato viene inviata tramite lo stesso canale della comunicazione, la protezione risulta totalmente vanificata. «Mandare un file cifrato e poi inviare la chiave di sblocco sullo stesso identico canale vanifica totalmente la protezione», ha spiegato l’esperto, sottolineando che si tratta di una prassi ancora diffusa.