Caso Revolut: la cronologia del data breach via PEC

Il metodo di questa ricostruzione

Su questo caso circolano molte cifre, alcune delle quali provengono dagli stessi attaccanti. Per ogni passaggio indico se il fatto è confermato da Revolut o da un’autorità pubblica, se è riportato dalla stampa senza conferma ufficiale o se è soltanto rivendicato da chi ha sottratto i dati. Le etichette colorate accanto a ogni data riprendono questa distinzione. Le fonti sono elencate in fondo. Ho consultato le dichiarazioni di Revolut riportate da TechCrunch e Fanpage, il comunicato del Garante per la protezione dei dati personali del 18 settembre e il resoconto stenografico della seduta della Camera dello stesso giorno, con il testo integrale della risposta del Governo e della replica dell’interpellante. Nessun comunicato ufficiale di Revolut sul proprio sito, della Procura di Reggio Calabria o della Polizia Postale risultava pubblicato alla data di aggiornamento.

Cronologia

I punti fermi e quelli ancora rivendicati

Al 25 settembre alcuni elementi sono confermati da più fonti ufficiali. La violazione riguarda circa 680 clienti di Revolut ed è stata realizzata con richieste false inviate da una casella PEC autentica della Prefettura di Reggio Calabria, la cui compromissione è stata accertata dal CSIRT Italia. I dati trasmessi comprendono documenti d’identità e informazioni finanziarie. Sul caso indaga la Procura di Reggio Calabria.

Restano rivendicazioni degli attaccanti il furto di 147 GB di dati dai sistemi delle forze dell’ordine, l’accesso prolungato a quei sistemi e il numero di 15 italiani coinvolti, contro gli 8 indicati dal Governo. Tra le fonti circolano anche cifre diverse sul numero complessivo dei clienti, che oscillano tra 650 e 700. Ho adottato il dato di 680, l’unico confermato sia da Revolut sia dal Governo.

Il vettore: una casella autentica in mani non autorizzate

Revolut dichiara che i propri sistemi sono rimasti integri e nessuna fonte lo ha smentito. I dati sono usciti attraverso una casella istituzionale reale, usata da chi non ne aveva titolo. Per questo i controlli tecnici sul mittente hanno dato esito positivo. Revolut lo ha detto in modo esplicito: le richieste avevano un’autenticazione del dominio valida e per questo sono state evase.

Gli screenshot diffusi mostrano anche segnali che una verifica di merito avrebbe potuto cogliere. Una prefettura, cioè un ufficio territoriale del Governo, chiedeva dati bancari citando un’indagine della Procura di Milano con protocolli della Procura di Roma, da una casella dedicata ai rapporti con gli enti locali. Questa ricostruzione si basa su materiale fornito dagli attaccanti e va letta con cautela. Resta il punto: l’autenticità del canale e la legittimità della richiesta sono due verifiche distinte.

C’è poi un dato che pesa più delle singole incongruenze. La Prefettura è l’Ufficio territoriale del Governo: un organo dell’amministrazione, retto dal prefetto, che dipende dal Ministero dell’Interno. La Procura della Repubblica è un ufficio della magistratura inquirente. Appartengono a due poteri dello Stato distinti. L’art. 248, comma 2, del codice di procedura penale affida l’esame di atti, documenti e dati presso le banche all’autorità giudiziaria o agli ufficiali di polizia giudiziaria da questa delegati. Una prefettura non è né l’una né l’altra. La Procura dispone inoltre di caselle certificate proprie. Una richiesta che si presenta come atto di una Procura e arriva dalla casella di una prefettura è quindi anomala prima di ogni verifica tecnica sul dominio. Un giudizio sulla responsabilità di Revolut spetta all’autorità di controllo. Se la ricostruzione trovasse conferma, dalla società ci si attende però una spiegazione precisa su come una richiesta con queste caratteristiche abbia superato per quattro mesi le procedure interne di verifica. In aula Pastorella ha ricordato che, secondo il rapporto AgID dell’anno precedente, le frodi mediante PEC sono al primo posto tra quelle subite dalla pubblica amministrazione.

I profili di protezione dei dati

Revolut Bank UAB ha sede in Lituania. Per i clienti dello Spazio economico europeo l’autorità capofila è quindi quella lituana, secondo il meccanismo dello sportello unico previsto dall’art. 56 del GDPR (Regolamento generale sulla protezione dei dati). Lo conferma lo stesso Garante italiano, che ha contattato l’autorità lituana proponendo uno scambio di informazioni. Per i 169 profili gestiti dalla sede britannica, indicati negli screenshot riportati da Il Post, è competente l’autorità del Regno Unito, l’Information Commissioner’s Office, che secondo la stampa ha ricevuto una segnalazione.

A mio avviso l’inquadramento è lineare. Una richiesta dell’autorità giudiziaria costituisce la base giuridica della comunicazione dei dati ai sensi dell’art. 6, par. 1, lett. c), del GDPR, perché pone il titolare davanti a un obbligo legale. Una richiesta falsa non genera alcun obbligo. La comunicazione è quindi avvenuta senza base giuridica, verso un destinatario non autorizzato. Si tratta di una divulgazione non autorizzata ai sensi dell’art. 4, n. 12). La buona fede di chi ha risposto incide sulla valutazione della responsabilità: l’art. 83, par. 2, lett. b), del GDPR impone di considerare il carattere doloso o colposo della violazione nel decidere se infliggere una sanzione e in quale misura. Non cambia la qualificazione del fatto come violazione dei dati personali.

La domanda che l’autorità di controllo dovrà porsi riguarda l’art. 32 del GDPR, che chiede misure tecniche e organizzative adeguate al rischio. Per una banca che custodisce documenti d’identità e dati finanziari, la procedura di verifica delle richieste delle autorità rientra tra le misure organizzative. Il giudizio dipenderà da come era scritta quella procedura e da come è stata applicata per quattro mesi, a fronte delle incongruenze che emergono dagli screenshot.

Revolut ha comunicato la violazione ai clienti coinvolti, adempimento che l’art. 34 del GDPR impone quando la violazione presenta un rischio elevato per i diritti e le libertà delle persone. Il rischio qui è evidente. Documenti d’identità e selfie di verifica permettono furti d’identità e aperture di conti fraudolenti. Lo storico delle transazioni consente agli attaccanti di calibrare i ricatti sulla situazione economica di ciascuno. Dal 23 settembre stanno facendo proprio questo. Le fonti consultate non dicono quando Revolut abbia notificato l’autorità lituana né se il termine di 72 ore previsto dall’art. 33 sia stato rispettato. Su questo punto la valutazione spetta all’autorità capofila.

I profili penali

Il procedimento avviato a Reggio Calabria riguarda l’accesso abusivo a un sistema informatico di interesse pubblico. L’art. 615-ter, comma 3, del codice penale porta la pena della reclusione da tre a dieci anni quando il fatto riguarda sistemi informatici “di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico”. La casella PEC di una prefettura rientra in questa categoria. La Polizia Postale indaga anche per frode informatica. Il Governo ha riferito che l’ACN ha informato la Direzione nazionale antimafia e antiterrorismo “come previsto dalla normativa in vigore”. Sulle condotte successive, dalla richiesta di riscatto ai ricatti ai singoli clienti, non risultano ancora iniziative giudiziarie pubbliche.

Cosa resta da chiarire

Diverse domande sono ancora senza risposta pubblica. Non è noto come siano state sottratte le credenziali della casella PEC, se la casella avesse l’autenticazione a due fattori, chi sia il fornitore del servizio, né se lo stesso accesso sia stato usato per inviare richieste ad altre banche o ad altri soggetti. La verifica chiesta dal Garante agli istituti italiani serve proprio a escluderlo. Non è noto se e quando il Ministero dell’Interno, titolare del trattamento per le caselle in uso alle prefetture, abbia notificato al Garante la compromissione della casella, che è una violazione di dati personali a sé, con i propri obblighi ai sensi dell’art. 33. Resta da accertare se i file diffusi il 24 settembre provengano davvero dai sistemi del Ministero dell’Interno, come sostengono gli attaccanti, o se si tratti di materiale transitato per la casella compromessa. Resta aperta anche la valutazione dell’autorità lituana sulla procedura di Revolut e sulla tempestività della notifica. La risposta del Governo del 18 settembre non ha toccato nessuno di questi punti.

Lezioni per chi riceve richieste dalle autorità

Richieste di questo tipo arrivano anche fuori dal settore bancario. Una struttura sanitaria riceve dalle forze dell’ordine o dalla Procura richieste di copia della cartella clinica o di immagini di videosorveglianza. Un operatore di telecomunicazioni riceve richieste sui dati di traffico. Le indicazioni che seguono derivano da ciò che nel caso Revolut è mancato.

Registro degli aggiornamenti

25 settembre 2026, terza revisione: attribuita alla risposta del Governo la qualificazione di Revolut come soggetto di diritto britannico e aggiunta la precisazione su Revolut Bank UAB e sul regolamento DORA. Riformulata la replica dell’interpellante sul testo del resoconto. Richiamato l’art. 248 c.p.p. nel rilievo su Prefettura e Procura e l’art. 83 del GDPR sulla buona fede. Corretta la descrizione dell’incidente DriveWealth. 25 settembre 2026, seconda revisione: precisata la distinzione tra Prefettura e Ministero dell’Interno e aggiunto il rilievo sul rapporto tra Prefettura e Procura nella sezione sul vettore. 25 settembre 2026: integrato il resoconto stenografico della Camera (interpellanza n. 2-00925, seduta n. 711), aggiunta la replica dell’interpellante e la segnalazione dell’incidente DriveWealth come caso distinto. 24 settembre 2026: prima stesura.