Sicurezza Un numero che non torna.* Revolut, i 680 clienti e l’ombra di uno Stato

• 

Dettagli

Categoria: Italia

Una Pec della Prefettura di Reggio Calabria sarebbe stata usata per ottenere dati sensibili della fintech.

Gabriele Carrer 17.9. 2026 linkiesta.it lettura3’

estratti

Matteo Mauri (Pd) annuncia un’interrogazione e chiede al governo di spiegare perché un numero così ristretto di persone sia stato preso di mira

Seicentoottanta. Sono le persone i cui dati sarebbero finiti nelle mani degli aggressori di Revolut. Un numero sorprendentemente piccolo per un’operazione che, secondo chi l’ha rivendicata, sarebbe andata avanti per mesi e avrebbe coinvolto sistemi appartenenti a diverse strutture italiane di law enforcement. E che solleva una domanda: perché proprio loro?

La ricostruzione è ormai abbastanza chiara. Revolut non è stata bucata. Gli aggressori, che ieri alle 18.30 hanno dato 24 ore di tempo per pagare un riscatto di circa 3 milioni di euro in criptovalute per evitare la pubblicazione dei dati sottratti, avrebbero invece utilizzato una Pec riconducibile alla Prefettura di Reggio Calabria per inviare alla fintech richieste apparentemente provenienti dalle autorità italiane. E così avrebbero ottenuto documenti d’identità, selfie per il Kyc, indirizzi, Iban, estratti conto e cronologie delle transazioni. Secondo il Financial Times, i clienti coinvolti sarebbero circa 680.

È qui che il caso cambia prospettiva.

«È un numero risibile», dice a Linkiesta Matteo Mauri, responsabile Sicurezza e Cybersicurezza del Partito democratico, che ha presentato un’interrogazione al ministro dell’Interno Matteo Piantedosi. «Il governo deve fornire risposte su un numero così limitato, che potrebbe essere sia la spia di un interesse diverso da quello della criminalità informatica».

Una spiegazione c’è, e non va scartata: criminalità informatica mirata. Se l’obiettivo erano clienti con grandi disponibilità in criptovalute, poche centinaia di persone possono rappresentare un bottino enorme. Ma bisogna capire come siano state scelte.

Gli aggressori avrebbero inviato a Revolut centinaia di identificativi pubblici di transazioni crypto, chiedendo di risalire alle persone che vi erano dietro. Dalla blockchain, insomma, alla persona: una richiesta apparentemente investigativa per trasformare un indirizzo pubblico in un dossier con nome, documenti e informazioni finanziarie.

La domanda è se gli aggressori abbiano cercato le whales – cioè individui, fondi di investimento o entità che possiedono una quantità enorme di una specifica criptovaluta – a caso o se avessero già una lista di obiettivi. Hanno bucato la Pec per scoprire chi fossero quei 680, oppure hanno bucato la Pec perché sapevano già chi cercare?

È qui che entra in gioco anche l’ipotesi di un attore statale. Non perché ci siano oggi prove per attribuire l’operazione a un governo straniero: non ce ne sono. Ma perché uno Stato interessato a ottenere informazioni finanziarie e personali potrebbe, almeno in teoria, avere un’altra strada rispetto a un’operazione condotta direttamente dai propri apparati: servirsi di criminali informatici come fornitori.

È un modello che avrebbe almeno due vantaggi: costi e deniability. Un gruppo criminale può svolgere un’operazione per conto di un committente senza che sia immediatamente riconducibile a un apparato statale. E può farlo utilizzando strumenti, infrastrutture e competenze che uno Stato non deve necessariamente sviluppare o impiegare direttamente. È un’ipotesi, non un’attribuzione. Ma è una delle cose che andrebbero verificate.

[…]

Per farlo bisogna partire dalla casella compromessa. Quante richieste sono partite da quell’indirizzo? Quando? Verso quali società? Solo Revolut oppure anche banche, exchange, operatori telefonici e altre piattaforme? E soprattutto: quali persone erano oggetto delle richieste?

C’è poi un altro elemento, ancora tutto da verificare. L’attaccante che si fa chiamare IAmNotAVillain sostiene di avere avuto accesso per circa sei mesi a sistemi appartenenti a diverse strutture italiane *di law enforcement e di avere sottratto circa 147 gigabyte di materiale. Per ora è una rivendicazione non verificata. Se fosse confermata, Revolut potrebbe essere soltanto uno degli obiettivi.

La vicenda, in quel caso, non riguarderebbe più soltanto la sicurezza di una fintech. Riguarderebbe la sicurezza dell’identità digitale dello Stato.

[…]

Mauri attacca il governo. «Questo governo, che fa della sicurezza una bandiera, è molto impegnato a partecipare a convegni in cui si dice quali sono i problemi ma non fa nulla per […]

La domanda resta quella di partenza. Perché 680?

Da Overview dell'AI

*1-Revolut è un'azienda di servizi finanziari digitali e una banca nata nel 2015

La licenza bancaria: Revolut opera in Europa tramite Revolut Bank UAB, un istituto autorizzato dalla Banca di Lituania e regolamentato dalla Banca Centrale Europea (BCE)

Presenza in Italia: Ha una succursale ufficiale a Milano ed è registrata presso la Banca d'Italia (codice ABI 03669). I depositi dei clienti europei sono protetti dal sistema di garanzia dei depositi lituano fino a 100.000 euro

*2-L'espressione inglese law enforcement significa letteralmente "applicazione della legge" e indica l'insieme delle forze dell'ordine e delle agenzie di polizia che si occupano di prevenire i reati, mantenere l'ordine pubblico e far rispettare le leggi.Cosa comprende in ItaliaIn Italia, il sistema è centralizzato a livello nazionale e i corpi principali sono:Polizia di Stato: forza di polizia a ordinamento civile.Carabinieri: forza armata con compiti di polizia militare e generale.Guardia di Finanza: polizia economica e finanziaria