A metà settembre 2026 Revolut ha confermato di aver consegnato dati sensibili di alcuni clienti a un gruppo di criminali informatici che si è finto un'autorità italiana. Passaporti, patenti, selfie di verifica dell'identità, IBAN, estratti conto e cronologia delle transazioni, tutto inviato dopo richieste ricevute attraverso quella che sembrava una PEC (posta elettronica certificata) autentica di un ente pubblico italiano. Secondo le ricostruzioni circolate finora, non confermate ufficialmente da Revolut, la truffa sarebbe andata avanti per circa cinque-sei mesi, con comunicazioni distribuite su più periodi, prima che qualcuno si accorgesse dell'inganno.
La maggior parte dei commenti si è concentrata sui dati esposti e sui rischi per i clienti coinvolti. Ma il dettaglio più interessante, quello che dice davvero qualcosa sul futuro della sicurezza informatica, è un altro: non c'è stata nessuna intrusione nei sistemi di Revolut. Le comunicazioni fraudolente sono arrivate da un indirizzo appartenente a un dominio governativo autentico, e hanno superato senza problemi i normali controlli tecnici di autenticazione. Resta ancora da chiarire con certezza se dietro questo risultato ci sia stato un vero accesso abusivo a un account PEC, magari tramite credenziali rubate a dipendenti pubblici con un infostealer, oppure una tecnica più sottile di falsificazione dell'header capace di far apparire il messaggio come proveniente da quel dominio. In entrambi i casi, la sostanza del problema non cambia.
A fraintendere queste comunicazioni come richieste ufficiali legittime non è stato un impiegato qualsiasi, ma le funzioni interne di Revolut più direttamente responsabili di questo tipo di verifica: il team legale e quello di compliance, che avrebbero autorizzato manualmente il rilascio dei file per un gruppo limitato di clienti. Questo è forse il punto più importante da capire, indipendentemente da come sia stato tecnicamente realizzato l'inganno, nessun controllo perimetrale avrebbe potuto intercettare l'attacco, perché non è stato aggirato nulla. Il processo di gestione delle richieste ufficiali ha funzionato esattamente come previsto dal suo design. A essere falsa non era la procedura, ma l'autorità di chi la stava attivando.
Questo è social engineering allo stato puro, e la differenza con un attacco informatico tradizionale è sostanziale. Quando un'azienda subisce una violazione tecnica, la soluzione è quasi sempre individuabile: una patch, un firewall configurato meglio, un sistema di autenticazione più robusto. Quando invece il problema è un processo organizzativo che per mesi non riesce a intercettare richieste illegittime mascherate da comunicazioni istituzionali, non è una cosa che si può correggere con una semplice patch. L'autenticazione a più fattori, tanto per fare un esempio, diventa irrilevante se nessuno ruba una password direttamente a Revolut, il dato non viene sottratto con la forza, viene consegnato volontariamente, su richiesta di qualcosa che sembra istituzionale in tutto e per tutto.
Il fatto che l'inganno sia durato mesi, e non un solo scambio isolato, rende questo caso un manifesto degli errori organizzativi più che tecnici. Secondo alcune ricostruzioni, c'erano segnali che avrebbero potuto insospettire, le richieste sarebbero risultate firmate come Polizia Postale ma arrivate da un dominio riconducibile a un'altra amministrazione, e mancherebbe quel decreto dell'autorità giudiziaria che normalmente accompagna le richieste ufficiali di questo tipo. Va detto, con onestà, che verificare telefonicamente ogni singola richiesta di questo tipo non è semplice per un provider internazionale che riceve istanze da autorità di paesi diversi, come ha fatto notare un consulente informatico forense interpellato sul caso, il rischio di rallentare o bloccare buona parte delle richieste legittime con controlli troppo rigidi è concreto. Ma proprio per questo, di fronte a una raccolta di segnali anomali ripetuti nel tempo, un livello di verifica aggiuntivo sarebbe stato ragionevole.
Il meccanismo psicologico sfruttato in questo caso è comunque tra i più difficili da correggere con la formazione tradizionale, la deferenza verso l'autorità, amplificata dal fatto che il canale utilizzato appariva come uno strumento pensato proprio per certificare l'identità del mittente e il valore legale del messaggio. Se il sistema stesso sembra garantire l'autenticità della busta, perché dubitare del contenuto? È un ragionamento comprensibile, ma pericoloso quando diventa un automatismo che nessuno rimette mai in discussione, nemmeno dopo settimane di richieste ripetute.
C'è poi un elemento di ricognizione da non sottovalutare: secondo le ricostruzioni disponibili, gli attaccanti avrebbero individuato che la controllata lituana di Revolut era soggetta a specifici obblighi di risposta agli ordini di indagine europei, sfruttando questo dettaglio per rendere credibile un finto Ordine Europeo di Indagine. Se confermato, non sarebbe stato un tentativo casuale, ma un lavoro di ricognizione precedente che assomiglia sempre di più a intelligence open source applicata al crimine informatico.
Revolut, va detto, non è nuova a episodi simili: già nel 2022 un'altra violazione era partita da una credenziale di un dipendente ottenuta tramite social engineering mirato, con decine di migliaia di clienti coinvolti. Il fatto che lo stesso tipo di vulnerabilità, quella umana e procedurale, si ripresenti a distanza di anni in un'azienda che gestisce miliardi in transazioni dimostra che il problema non è mai stato la tecnologia, ma la capacità delle persone e dei processi aziendali di mettere in discussione richieste che sembrano legittime.
La lezione, per qualsiasi organizzazione che gestisce dati sensibili, è che la formazione alla sicurezza non può limitarsi a riconoscere email scritte male o link sospetti. Deve insegnare a verificare sempre, con un canale indipendente, anche le richieste che arrivano da domini o strumenti apparentemente certificati, specialmente quando si protraggono nel tempo e coinvolgono le funzioni più delicate di un'azienda come legale e compliance. Un processo che permette per mesi la stessa falla, senza che nessuno la intercetti, non è un incidente isolato, è la prova che manca un controllo strutturale, non solo la consapevolezza di un singolo dipendente.