Revolut non risulta essere stata violata nei suoi sistemi interni e i fondi dei clienti non sono stati toccati. Il caso emerso in queste ore è però serio per un altro motivo: un gruppo di criminali informatici avrebbe utilizzato una PEC istituzionale italiana realmente compromessa per presentarsi come autorità e ottenere informazioni riservate su circa 680 clienti Revolut.
La Polizia Postale sta indagando per accesso abusivo a sistema informatico e frode informatica. Secondo le ricostruzioni pubblicate nelle ultime ore, la casella coinvolta sarebbe riconducibile alla Prefettura di Reggio Calabria e utilizzerebbe il dominio istituzionale @pec.interno.it. Il punto decisivo è che non si sarebbe trattato di una semplice email contraffatta: gli aggressori avrebbero controllato una casella autentica.
Come è avvenuta la truffa a Revolut
Il meccanismo è diverso dal classico phishing contro il singolo utente. Gli aggressori si sarebbero finti appartenenti alle forze dell’ordine italiane e avrebbero inviato a Revolut richieste di informazioni apparentemente collegate a indagini ufficiali.
Le richieste provenivano da un dominio governativo legittimo e, secondo quanto dichiarato da Revolut alla stampa, presentavano una valida autenticazione tecnica del dominio. Per questo sarebbero state elaborate come richieste legali obbligatorie.
Il caso è oggetto di indagine della Polizia Postale. Le comunicazioni sarebbero proseguite per settimane, finché Revolut non avrebbe effettuato una verifica diretta con l’istituzione italiana, scoprendo che quelle richieste non provenivano realmente dall’autorità.
Quali dati dei clienti Revolut sarebbero stati esposti
Le informazioni finite nelle mani degli aggressori sono molto più delicate di un semplice indirizzo email. Le ricostruzioni disponibili parlano di dati che possono includere:
- nome, data di nascita e indirizzo di residenza;
- copie di passaporti o altri documenti di identità;
- selfie e immagini utilizzate per la verifica dell’identità;
- IBAN e informazioni relative ai conti;
- estratti conto e cronologia delle transazioni;
- informazioni su operazioni in criptovalute, quando presenti.
Revolut ha precisato che i propri sistemi non sarebbero stati compromessi e il denaro dei clienti non sarebbe stato sottratto. Questo significa che, allo stato delle informazioni disponibili, non siamo davanti a un attacco che ha consentito agli hacker di entrare direttamente nei conti e trasferire denaro.
Perché non è corretto dire semplicemente che Revolut è stata hackerata
La distinzione è importante. Non risultano violati i server di Revolut né aggirati direttamente i sistemi di autenticazione dei clienti. L’attacco avrebbe sfruttato invece la catena di fiducia tra un ente pubblico e un istituto finanziario.
Una PEC serve a certificare trasmissione, mittente e consegna all’interno del sistema previsto, ma se la casella autentica viene compromessa il problema cambia completamente: il messaggio può essere tecnicamente valido pur essendo stato scritto da una persona non autorizzata.
È lo stesso principio che rende pericolosi molti attacchi moderni basati sull’abuso di infrastrutture legittime. Lo abbiamo visto anche nella recente campagna phishing contro Trezor partita attraverso Brevo: quando il messaggio passa da un sistema realmente utilizzato dal marchio o dall’ente, affidarsi soltanto al dominio del mittente non è più sufficiente.
Perché i dati di 680 clienti restano un problema anche senza furto di denaro
Il fatto che i fondi non siano stati toccati non rende innocua l’esposizione. Un archivio che combina documento di identità, indirizzo, IBAN, selfie e cronologia finanziaria può essere utilizzato per costruire tentativi di impersonificazione molto credibili.
Conoscere movimenti bancari e operazioni in criptovalute permette inoltre di selezionare le vittime in base al loro profilo finanziario. Un successivo messaggio falso potrebbe citare transazioni reali, dati personali corretti o informazioni che normalmente soltanto il cliente e la banca dovrebbero conoscere.
È per questo che il rischio principale ora riguarda possibili truffe mirate, furti di identità e social engineering. La nostra guida per riconoscere il phishing resta utile, ma in un caso simile bisogna aggiungere una regola: un mittente apparentemente corretto non basta a dimostrare che chi scrive sia realmente autorizzato.
Sono cliente Revolut: devo preoccuparmi?
Al momento non ci sono indicazioni di una compromissione generalizzata degli utenti Revolut. La società parla di un numero limitato di persone coinvolte e ha dichiarato di aver contattato direttamente i clienti interessati.
Se ricevi una comunicazione relativa a questo incidente, la scelta più prudente è verificare tutto dall’app ufficiale, evitando numeri telefonici e link contenuti nel messaggio. Se noti operazioni che non riconosci, Revolut indica di bloccare la carta interessata, modificare il passcode quando si sospetta un accesso al conto e segnalare la transazione attraverso l’assistenza in-app.
La procedura ufficiale Revolut per segnalare una frode consiglia anche di interrompere ogni comunicazione con il presunto truffatore e utilizzare direttamente gli strumenti presenti nell’app.
La vera lezione del caso Revolut riguarda la fiducia digitale
Questo episodio evidenzia un problema che va oltre Revolut. Molti processi sensibili si basano ancora sull’idea che un messaggio proveniente da un’infrastruttura certificata rappresenti automaticamente una richiesta autentica.
Ma autenticare il dominio non equivale ad autenticare l’intenzione della persona che sta usando quella casella. Quando una richiesta comporta la consegna di documenti, cronologie finanziarie o altri dati ad alto impatto, la sicurezza deve poter verificare anche chi sta realmente chiedendo quelle informazioni e per quale procedimento.
Nel caso Revolut, la vulnerabilità più interessante non è quindi una falla nell’app bancaria. È la possibilità di trasformare un canale istituzionale compromesso in una credenziale di fiducia. Ed è proprio questo che rende l’incidente rilevante anche per chi non usa Revolut: dimostra che, quando viene compromesso il soggetto considerato affidabile, persino una comunicazione tecnicamente autentica può diventare uno strumento di frode.
