Revolut è finita sotto i riflettori per aver consegnato i dati privati di 680 clienti a un gruppo di criminali informatici. Galeotta fu una PEC compromessa: secondo le ricostruzioni, infatti, gli hacker avrebbero violato un indirizzo di posta elettronica certificata del ministero dell’Interno (secondo il Corriere della Sera appartenente alla prefettura di Reggio Calabria) per chiedere informazioni alla banca britannica.
La principale società europea di servizi finanziari digitali, con 80 milioni di clienti e valutata 115.000.000.000 dollari, ha messo nelle mani di sconosciuti i dati di residenti in Francia, Svizzera e altri trentuno paesi, sicura di rispondere a una richiesta di chiarimento da parte delle autorità italiane.
Il trucco della pec
Il gruppo di truffatori, che su internet usa lo pseudonimo iamnotavillain, ha spiegato di aver contattato l’istituto di credito fingendosi una divisione delle forze dell’ordine italiane. Le finte comunicazioni sono partite da un vero indirizzo del sistema di posta elettronica certificata (PEC), la rete usata in Italia per le comunicazioni ufficiali e legali, e così i dipendenti dell’azienda hanno risposto alle richieste inviando ai truffatori documenti di identità, indirizzi, numeri di telefono, estratti conto e dettagli sulle transazioni in criptovalute.
I criminali hanno spiegato di aver selezionato i bersagli tramite l’analisi della cosiddetta blockchain, il registro digitale dove avvengono gli scambi di moneta virtuale, con l’intenzione di colpire esclusivamente utenti con grandi disponibilità economiche.
La reazione dell’azienda
Dopo aver rilevato il problema, Revolut ha bloccato in modo repentino le comunicazioni con l’indirizzo sospetto e ha avvisato sia le autorità di vigilanza competenti sia i correntisti coinvolti. Secondo l’azienda i sistemi informatici interni e i fondi dei clienti sarebbero rimasti al sicuro, dal momento che la violazione ha riguardato in modo esclusivo lo sfruttamento di un canale di comunicazione statale per simulare richieste legali.
Tra le vittime del furto di dati ci sarebbero il calciatore georgiano Georges Mikautadze, il tennista Alexandr Shevchenko e Mark Karpelès, ex amministratore delegato di Mt Gox, una nota piattaforma di scambio di bitcoin fallita anni fa proprio a causa di un furto informatico. Karpelès ha criticato la gestione del problema, e ha dichiarato alla stampa che Revolut non avrebbe dovuto condividere quel tipo di informazioni, a prescindere dal fatto che l’email provenisse da un indirizzo governativo verificato.
Le indagini in Italia
I pirati informatici hanno minacciato che pubblicherebbero i dati raccolti se non dovessero ricevere il pagamento di un riscatto, ma questo scenario non è ancora confermato, perché secondo fonti vicine all’azienda citate dal Financial Times al momento non sarebbe arrivata alcuna richiesta economica formale.
Nel frattempo l’intrusione informatica ha provocato diverse reazioni politiche in Italia, il che ha spinto la deputata di opposizione Giulia Pastorella a definire l’accaduto «allarmante a un livello inimmaginabile» e ad annunciare che solleverà la questione in parlamento per chiedere chiarimenti al ministero dell’Interno.
Le autorità italiane, tra cui la polizia postale e l’agenzia per la sicurezza informatica, hanno confermato l’avvio delle indagini per chiarire la dinamica della compromissione della casella email governativa, ma al momento nessuna istituzione ha rilasciato ulteriori dichiarazioni ufficiali.
Che cosa fare con Revolut?
Molti in rete si stanno facendo questa domanda. Se Revolut è stata truffata, i miei soldi sono in pericolo? La riposta è “ni”. Anzitutto, tecnicamente, Revolut non è stata “bucata”: non ha subito un furto di dati dovuto a sistemi di difesa deboli.
E questo è il punto più rassicurante: sulla carta, la banca britannica (la più grande in Europa) resta solida e altamente affidabile. Come cliente dal 2025, mi sento di dormire sonni tranquilli: non sposterò il mio denaro altrove, né chiuderò il mio conto gratuito.
Il problema è un altro. Il furto di dati ha avuto origine da qualcosa di più banale, un errore umano: qualcuno ha chiesto dei dati e qualcuno di Revolut, dall’altra parte, si è fidato e glieli ha forniti. Nessun sistema di cyber sicurezza può prevedere e bloccare questa vulnerabilità.
Spesso siamo abituati a pensare alla sicurezza informatica come a una questione di firewall, exploit e sistemi compromessi, quando a volte l’attacco più efficace consiste semplicemente nell’indurre una persona in carne e ossa a compiere un errore.
Errore che qualunque altro dipendente di banca avrebbe potuto commettere. Quindi, non è Revolut il problema: è la natura umana di chi ogni giorno sta dietro le strutture di controllo.
Il vero problema
Prima di puntare il dito sulla banca, come sta accadendo in questi giorni, bisognerebbe riflettere sui sistemi di sicurezza nazionali. In Italia la PEC è stata progettata proprio per offrire certezza sull’identità del mittente, ha validità legale, è la email più autorevole.
Gli hacker, inoltre, sostengono di aver avuto accesso per mesi ai sistemi di diverse strutture delle forze dell’ordine italiane: secondo l’International Cyber Digest, sarebbero oltre 147 GB di materiale trafugato.
Qui la vicenda smette di essere soltanto una storia di Revolut e diventa una domanda che riguarda qualsiasi organizzazione. Qual è il livello di sicurezza informatica delle infrastrutture chiave italiane? E soprattutto: quali sono i canali istituzionali di cui un cittadino, o un’azienda, non dovrebbero mai dubitare?
Oltre alla tecnologia obsoleta, un server mal configurato o una password troppo semplice, non bisogna dimenticare che i rischi alla sicurezza possono arrivare semplicemente da una persona che sta facendo il proprio lavoro, e commette uno sbaglio o una leggerezza.
