Una PEC falsa, firmata con il nome di un’istituzione italiana, è bastata per convincere Revolut a consegnare i dati personali di centinaia di clienti a dei criminali informatici. Nessun attacco spettacolare ai server, nessun malware sofisticato: solo una mail ben costruita, inviata al momento giusto, a chi crede di rispondere a un’autorità.
La banca digitale ha confermato la violazione dopo che alcuni utenti hanno segnalato movimenti sospetti sui propri conti. Dietro la truffa Revolut c’è una tecnica nota da anni agli esperti di sicurezza informatica ma ancora capace di ingannare grandi aziende: il Man-in-the-mail, una forma di ingegneria sociale che sfrutta la fiducia riposta nelle comunicazioni ufficiali.
Cosa è successo: la truffa Revolut con PEC italiana
Tutto è partito da una richiesta di dati apparentemente legittima, inviata a Revolut tramite una posta elettronica certificata riconducibile a un’istituzione italiana. La PEC compromessa dava alla richiesta un’apparenza di autorevolezza difficile da mettere in dubbio: chi riceve una comunicazione da un indirizzo certificato tende a fidarsi, perché la PEC ha valore legale equiparato a una raccomandata con ricevuta di ritorno.
Gli hacker si sono finti un pubblico ministero italiano, chiedendo a Revolut di fornire informazioni su alcuni conti nell’ambito di presunte indagini. La banca, obbligata per legge a collaborare con le forze dell’ordine in casi simili, ha risposto inviando i dati richiesti. Solo in seguito è emerso che la richiesta non proveniva affatto da un magistrato, ma da criminali che avevano compromesso l’account PEC di un ente pubblico.
Come hanno agito gli hacker: la tecnica del Man-in-the-mail
Il Man-in-the-mail funziona in modo diverso dal phishing tradizionale. Invece di indurre la vittima a cliccare su un link malevolo, l’attaccante si inserisce in una comunicazione ufficiale già esistente o ne crea una che imita perfettamente uno scambio istituzionale legittimo. Nel caso di Revolut, la truffa è durata circa cinque mesi, con scambi di email costruiti con cura per sembrare autentici in ogni dettaglio: intestazioni, riferimenti normativi, tono burocratico.
Questa pazienza è ciò che rende il Man-in-the-mail particolarmente pericoloso. Gli aggressori non si limitano a un singolo tentativo: costruiscono un dialogo credibile, rispondono alle richieste di chiarimento, mantengono coerenza nei documenti allegati. Chi si trova dall’altra parte, in questo caso il personale di Revolut incaricato di gestire le richieste delle autorità, non ha strumenti semplici per verificare se una PEC sia stata realmente compromessa.
L’uso della PEC della prefettura di Reggio Calabria
Al centro della vicenda c’è la casella di posta elettronica certificata riconducibile alla prefettura di Reggio Calabria. I criminali informatici sono riusciti ad accedere a questo canale ufficiale, probabilmente attraverso credenziali rubate o una violazione della sicurezza dell’ente, e lo hanno usato per inviare richieste che sembravano provenire da un’autorità italiana legittima.
Il fatto che si tratti di un’istituzione pubblica reale, e non di un dominio inventato o simile all’originale, spiega perché Revolut non abbia individuato l’anomalia in tempo. Una PEC autentica, anche se sotto il controllo di malintenzionati, resta tecnicamente indistinguibile da una PEC genuina inviata dalla stessa casella.
Una PEC normale garantisce che il mittente abbia effettivamente accesso a quella casella certificata. Una PEC compromessa mantiene lo stesso valore legale agli occhi di chi la riceve, ma il controllo dell’account è passato nelle mani di terzi. Nessun sistema di verifica standard riesce a distinguerle dall’esterno.
Quanti e quali dati sono stati sottratti
Secondo le prime ricostruzioni, i dati sottratti riguardano circa 680 clienti italiani. Le informazioni consegnate includono dati anagrafici, numeri di conto e, in alcuni casi, dettagli relativi alle transazioni. Si tratta esattamente del tipo di documentazione che Revolut è tenuta a raccogliere per gli obblighi KYC, ovvero le procedure di identificazione della clientela previste dalla normativa antiriciclaggio.
Non risultano al momento sottratte credenziali di accesso o password, ma i dati personali finiti nelle mani sbagliate sono comunque sufficienti per costruire ulteriori truffe mirate, come tentativi di phishing personalizzati verso le stesse vittime, che ora potrebbero ricevere comunicazioni fraudolente ancora più credibili perché basate su informazioni reali.
Perché Revolut ha consegnato i dati: gli obblighi KYC
La normativa europea impone alle banche digitali di rispondere alle richieste legittime delle forze dell’ordine, spesso entro tempi stretti. Questo meccanismo, pensato per contrastare riciclaggio e finanziamento del terrorismo, diventa un punto debole quando la richiesta fraudolenta arriva mascherata da un canale ufficiale come una PEC.
Revolut ha dichiarato di seguire protocolli di verifica per le richieste delle autorità italiane, ma il caso dimostra che questi controlli non hanno intercettato l’anomalia. La banca ha comunicato di aver rafforzato le procedure interne dopo la scoperta della violazione, senza però fornire dettagli tecnici precisi su cosa sia cambiato concretamente.
Conseguenze per i clienti e azioni legali in corso
La vicenda ha avuto ripercussioni immediate anche sul piano politico. È stata depositata un’interrogazione parlamentare per chiedere chiarimenti al governo sulla sicurezza delle PEC istituzionali e sulle responsabilità di Revolut nella gestione della richiesta fraudolenta. Il Codacons ha annunciato di voler avviare azioni legali per tutelare i clienti coinvolti, chiedendo trasparenza totale sull’accaduto e sui rimedi previsti.
Chi ritiene di essere tra i clienti coinvolti dovrebbe monitorare con attenzione i movimenti sul proprio conto Revolut, diffidare di email o telefonate che chiedono conferme di dati personali anche se apparentemente provenienti dalla banca, e contattare direttamente l’assistenza ufficiale in caso di dubbi. Segnalare tempestivamente qualsiasi comunicazione sospetta alle autorità competenti resta il modo più efficace per limitare i danni di un furto dati di questa portata.
Il caso resta aperto, e le indagini dovranno chiarire l’entità reale della violazione dati, chi ci sia dietro l’attacco alla PEC della prefettura di Reggio Calabria e quali responsabilità abbia effettivamente Revolut nella gestione di una richiesta che, a uno sguardo più attento, presentava probabilmente segnali di allarme.
