Caso Revolut, la PEC violata e la fiducia tradita nelle identità digitali

17/09/2026 SCIENZA E TECNOLOGIA Condividi Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Il caso Revolut non è il consueto data breach da manuale, quello per intenderci fatto di firewall violati e database saccheggiati con la forza bruta. La vicenda che ha travolto la fintech britannica, rivelata dal Financial Times e confermata in larga parte dall’azienda, racconta qualcosa di più insidioso: un attacco che non ha forzato le difese tecniche della banca, ma ha sfruttato la fiducia riposta in un canale che, proprio perché certificato, avrebbe dovuto essere immune da manipolazioni.

Stiamo parlando della Posta Elettronica Certificata, quel sistema che in Italia attribuisce valore legale alle comunicazioni digitali.

Un inganno costruito sulla carta intestata digitale

Secondo quanto ricostruito, gli aggressori avrebbero preso il controllo di una casella PEC riconducibile alla Prefettura di Reggio Calabria, con dominio pec.interno.it, e l’avrebbero usata per presentare richieste di informazioni che apparivano provenire da un’autorità pubblica.

Revolut, come qualsiasi intermediario finanziario abituato a collaborare con le forze dell’ordine, ha dato seguito a quelle istruzioni consegnando dati personali e finanziari di circa 680 clienti europei: documenti d’identità, selfie usati per la verifica, indirizzi, informazioni sui conti e cronologie delle transazioni, comprese quelle in criptovalute.

Il punto è che i sistemi di Revolut non sono stati violati, i fondi dei clienti non sono stati toccati e l’infrastruttura della banca non ha mostrato crepe. La falla, se così si può chiamare, stava a monte: nella catena di autenticazione che separa un mittente legittimo da uno che si spaccia per tale.

Andrea Mavilla, l’esperto informatico che già dall’anno scorso aveva denunciato una vulnerabilità nei domini delle principali amministrazioni pubbliche italiane, ha spiegato la questione senza giri di parole: «Se affidi i domini internet di enti e istituzioni pubbliche a società private e non ne nascondi i parametri, come avviene in Italia, è più facile che un malintenzionato cloni una mail per ingannare banche come Revolut, o peggio».

Lo spoofing che non richiede password

La tecnica usata dagli hacker si chiama spoofing: si falsifica l’identità del mittente, facendo apparire un messaggio come proveniente da un indirizzo autentico senza necessariamente compromettere l’account. Mavilla ha dimostrato la facilità dell’operazione inviando mail che sembravano arrivare dalla Polizia di Stato, dal Senato o persino dal ministro della Difesa, con tanto di oggetti provocatori come «attacco nucleare in corso».

Il problema, ha spiegato, è strutturale: in Italia i domini pubblici sono spesso appaltati a fornitori privati, i parametri di configurazione non sono adeguatamente protetti e le regole di autenticazione dei mittenti, quelle che nel gergo tecnico si chiamano SPF e DMARC, sono applicate in modo frammentario o del tutto assenti. All’estero, ha aggiunto l’esperto, il governo americano non affiderebbe mai a una società esterna la gestione dei propri domini, e i parametri di configurazione non sarebbero leggibili con un’applicazione gratuita.

La casella PEC della Prefettura di Reggio Calabria sarebbe stata usata per mesi, forse cinque o sei, con richieste accompagnate da presunti ordini europei di indagine, prima che Revolut insospettita contattasse direttamente l’ente e scoprisse l’inganno. A quel punto l’azienda ha bloccato l’indirizzo, avvisato le autorità e iniziato a informare i clienti coinvolti.

L’inchiesta e le richieste di riscatto

Sulla vicenda indaga la Procura di Reggio Calabria, che ha ipotizzato il reato di intrusione in un sistema informatico di pubblico interesse. Gli investigatori devono ancora chiarire se la casella sia stata effettivamente compromessa o soltanto clonata, e se il computer violato appartenga alla Prefettura o al Viminale.

Si è mossa anche la Direzione nazionale antimafia e antiterrorismo, mentre il Garante per la privacy ha avviato una verifica sulle possibili falle nei sistemi di accesso delle banche italiane, aprendo uno scambio di informazioni con l’autorità lituana, Paese dove Revolut ha la sede legale europea.

Nel frattempo un gruppo che si fa chiamare IAmNotAVillain ha rivendicato l’attacco e pubblicato una richiesta di riscatto di 3 milioni di dollari in criptovaluta Monero, minacciando di vendere i dati se non riceverà il pagamento. Il gruppo sostiene anche di detenere circa 147 gigabyte di dati interni delle forze dell’ordine italiane, una rivendicazione che al momento non risulta verificata in modo indipendente.