La Polizia postale indaga su una casella PEC istituzionale italiana compromessa, usata per ottenere da Revolut dati riservati di clienti. La vicenda è emersa il 15 settembre; la fintech conferma l’inganno esterno e afferma di avere avvisato autorità e persone coinvolte.
Secondo il Financial Times, gli account interessati sarebbero circa 680. Il numero non è stato pubblicato direttamente da Revolut, che parla di un gruppo limitato. Non è ancora noto quanti clienti italiani siano coinvolti: la maggioranza identificata dalla testata risiederebbe in Svizzera e Francia.
Le informazioni esposte possono includere documenti d’identità, indirizzi, recapiti, dati del conto ed estratti delle operazioni, in base alle notifiche esaminate da Reuters, Financial Times e TechCrunch. L’esatta combinazione varia tra gli utenti e non va attribuita indistintamente a tutti i 680 profili stimati.
Revolut sostiene che i propri sistemi informatici e il denaro dei clienti non siano stati compromessi. Il punto critico sarebbe invece il canale di fiducia: richieste apparentemente autentiche, provenienti da un dominio governativo legittimo, sono state trattate come comunicazioni ufficiali di un’autorità.
ANSA riferisce che la casella sarebbe appartenuta a una prefettura italiana e che gli investigatori stanno ricostruendo l’accesso abusivo. Alcune testate indicano la Prefettura di Reggio Calabria, ma non risulta ancora pubblicato un comunicato dell’istituzione che confermi questo dettaglio.
Gli autori dell’attacco hanno dichiarato al Financial Times di essersi spacciati per appartenenti alle forze dell’ordine e di avere inviato più richieste nel corso di settimane. È una rivendicazione degli stessi responsabili e non prova, senza verifiche forensi, durata e modalità complete dell’operazione.
Per chi usa Revolut, la comunicazione decisiva è quella inviata direttamente dall’azienda agli account interessati. L’assenza di un avviso non dimostra che ogni verifica sia conclusa, ma le fonti disponibili non sostengono una violazione generalizzata dei milioni di clienti italiani né un accesso ai loro fondi.
Il caso mostra una distinzione importante: l’autenticazione tecnica di un messaggio può confermare il dominio di provenienza senza garantire che la persona che controlla la casella sia autorizzata. L’indagine dovrà chiarire come sia stata presa la PEC e se richieste analoghe abbiano raggiunto altre organizzazioni.
Revolut afferma di avere bloccato l’indirizzo utilizzato, informato l’ente interessato e avviato misure aggiuntive. Restano da accertare il perimetro dei dati italiani, le responsabilità nell’accesso alla casella istituzionale e l’eventuale uso successivo delle informazioni sottratte.