Una mail vera, usata da chi non doveva
Perché un'azienda che maneggia miliardi dovrebbe fidarsi di una mail? Perché quella mail arriva da un indirizzo istituzionale reale, con dominio verificato e tutto. È quello che è successo a Revolut: una casella PEC riconducibile alla Prefettura di Reggio Calabria è finita nelle mani di criminali, che l'hanno usata per chiedere dati su centinaia di clienti fingendosi Polizia Postale. Revolut ha risposto come farebbe con qualunque richiesta di un'autorità italiana: ha mandato i dati.
Cinque mesi di richieste, nessun allarme
Non è stato un colpo isolato. Le richieste sarebbero partite circa cinque mesi fa e sono continuate una dopo l'altra, senza che nessuno se ne accorgesse. Per aggirare i controlli interni, chi gestiva la casella compromessa avrebbe indirizzato le domande a Revolut Bank UAB, la controllata lituana del gruppo, sfruttando l'Ordine Europeo di Indagine: uno strumento di cooperazione giudiziaria reale, che rende una richiesta arrivata dall'Italia verso una banca lituana tutt'altro che sospetta. Il risultato: circa 680 clienti coinvolti, alcuni di profilo alto, tra cui l'ex amministratore delegato di Mt.Gox Mark Karpelès e il tennista Alexander Shevchenko. Tra i dati usciti: documenti d'identità, selfie di verifica, indirizzi, IBAN, estratti conto e persino operazioni in Bitcoin.
Il vero bersaglio non era Revolut
Revolut si difende dicendo che i propri sistemi non sono stati violati e che i fondi dei clienti non sono a rischio. È vero, ed è proprio il punto: nessuno ha bucato niente. Il sistema ha fatto esattamente quello per cui è stato costruito, rispondere a una richiesta apparentemente legittima di un'autorità. Il problema sta a monte, nella fiducia automatica che banche, assicurazioni e operatori telefonici concedono a chiunque scriva da un dominio governativo. Colpire chi chiede i dati, invece di chi li custodisce, è più facile e molto più redditizio.
Un problema più grande di una singola banca
Sulla vicenda indaga la Polizia Postale, e il Garante Privacy ha aperto verifiche sulle procedure usate dalle banche italiane per riscontrare le richieste. Nel frattempo CERT-AGID segnala che dall'inizio del 2026 ha già gestito oltre 650 casi di caselle PEC abusate o create per scopi illeciti: Reggio Calabria non è un caso isolato, è un sintomo. Resta da capire quanti altri account istituzionali siano stati usati allo stesso modo, e per quanto tempo, prima che qualcuno se ne accorgesse.
💬 Il mio commento
La parte che mi colpisce di più in questa storia non è la Pec compromessa, è quanto tempo ci è voluto prima che qualcuno si accorgesse che qualcosa non tornava: cinque mesi, richieste ripetute, e a un certo punto pare che l'assistenza abbia perfino suggerito all'attaccante come correggere un documento sbagliato per renderlo "conforme". Quando aiuto un'azienda a mettere a punto le procedure per rispondere a richieste di dati da parte di autorità — capita più spesso di quanto si pensi, non solo alle banche — la prima domanda che faccio è sempre la stessa: chi verifica che chi scrive sia davvero chi dice di essere, e con quale metodo? Quasi sempre la risposta è "ci fidiamo del dominio istituzionale", che è esattamente la porta che qui è stata sfondata.
Il punto debole non era la cassaforte di Revolut, era il postino. E questo cambia l'approccio alla sicurezza: non basta blindare i propri sistemi, serve un canale di verifica indipendente per le richieste che arrivano dall'esterno, anche quando sembrano ufficiali al cento per cento. Una telefonata al numero pubblico dell'ente, non a quello scritto nella mail sospetta, costa due minuti e in un caso come questo avrebbe probabilmente fermato tutto alla prima richiesta.
Credo che episodi come questo diventeranno più frequenti, non meno: attaccare la fiducia istituzionale rende di più che bucare un server e richiede molta meno tecnica. Man mano che aziende e pubbliche amministrazioni alzano le difese sui propri sistemi, chi vuole dati sposterà l'attenzione su chi ha il potere di chiederli legittimamente — enti pubblici, tribunali, forze dell'ordine — perché è lì che i controlli restano più deboli.