Caso Revolut, cosa rischiano davvero i clienti: i dati rubati e il punto debole della PEC

Il denaro non sarebbe stato prelevato e i sistemi della banca non risulterebbero violati. Eppure il caso Revolut resta grave: secondo le informazioni disponibili, un gruppo identificato come “iamnotavillain” avrebbe ottenuto dati personali e finanziari di circa 680 clienti, sfruttando non una falla dell’app ma la credibilità di una casella di posta certificata compromessa. È un incidente che mostra quanto possa essere pericolosa un’identità digitale autentica quando viene controllata dalla persona sbagliata.

Non un’intrusione nei server, ma una richiesta apparentemente autentica

La distinzione è decisiva. In base alla ricostruzione disponibile, gli aggressori non sarebbero entrati nell’infrastruttura informatica della banca né avrebbero violato direttamente l’app. Avrebbero invece utilizzato una casella PEC compromessa riconducibile a una Prefettura, presentandosi come interlocutori istituzionali e inducendo Revolut a trasmettere le informazioni richieste.

Si tratterebbe quindi di un attacco fondato sull’impersonificazione di un’autorità e sull’abuso di un canale considerato affidabile. Revolut sostiene che i propri sistemi software non siano stati compromessi e che i fondi dei clienti non siano stati sottratti. La banca avrebbe contattato le persone coinvolte, stimate in circa 680, descritte come clienti di alto profilo o potenzialmente interessanti per la loro attività finanziaria e in criptovalute.

Quali informazioni sarebbero state esposte

La portata del caso non dipende soltanto dal numero delle persone interessate, ma dalla profondità dei dati che sarebbero finiti fuori dal perimetro autorizzato. L’insieme comprenderebbe nome, cognome, numero di telefono, indirizzo email, fotografie dei documenti d’identità e selfie utilizzati per la verifica del cliente. A questi elementi si aggiungerebbero IBAN, riferimenti dei conti ed elenchi delle singole transazioni, incluse operazioni in bitcoin. 

Non tutte queste informazioni consentono, da sole, di prelevare denaro. Un IBAN, per esempio, non equivale a una password e non permette normalmente di accedere al conto. Il problema nasce dalla loro combinazione: identità, documento, contatti e cronologia finanziaria possono fornire a un truffatore un profilo molto credibile della vittima.

Conoscere importi, beneficiari, date e operazioni recenti consente di costruire messaggi difficili da distinguere da una comunicazione reale. Una telefonata può citare un bonifico autentico; un’email può contenere le ultime cifre di un conto; un falso addetto antifrode può conoscere nome, indirizzo e documento. La vittima, riconoscendo dettagli che ritiene riservati, è più incline a fidarsi.

I soldi sul conto sono a rischio?

Non risultano compromessi automaticamente, ma il rischio non può essere liquidato come trascurabile. Se sono stati esposti soltanto dati anagrafici e finanziari, senza credenziali, codici di sicurezza o controllo del dispositivo, gli aggressori non dispongono necessariamente di un accesso diretto al conto. Possono però tentare il passaggio successivo: ottenere dalla vittima un codice monouso, convincerla ad autorizzare un pagamento, farle installare un software di controllo remoto oppure indirizzarla verso una pagina contraffatta.

Revolut ricorda che non chiede durante una telefonata di effettuare pagamenti o comunicare codici di verifica. Le chiamate dell’assistenza devono inoltre essere prenotate e confermate attraverso l’app. In presenza di un contatto inatteso, l’unica verifica affidabile consiste nel chiudere la conversazione e aprire autonomamente la chat ufficiale nell’app, senza utilizzare collegamenti ricevuti via email o SMS.

Chi riceve una comunicazione sulla violazione dovrebbe controllare con particolare attenzione movimenti, beneficiari aggiunti, notifiche di accesso, richieste di finanziamento e anomalie sulla propria linea telefonica. Un’improvvisa perdita del segnale può, in alcuni casi, accompagnare un tentativo di sostituzione della SIM. È inoltre prudente cambiare le password riutilizzate su più servizi, attivare l’autenticazione a più fattori dove disponibile e conservare ogni messaggio sospetto.

Se compare una transazione non riconosciuta, occorre agire subito: bloccare la carta dall’app, modificare il codice di accesso se si teme un’intrusione, interrompere i contatti con il presunto operatore e segnalare l’operazione al servizio antifrode. Revolut indica la chat in-app come canale diretto per l’assistenza e raccomanda, quando possibile, di presentare denuncia alle forze dell’ordine. 

La PEC è ancora sicura?

Il caso non dimostra che la Posta elettronica certificata sia priva di valore. La PEC certifica l’invio, la consegna e determinati elementi del messaggio, ma non rende invulnerabili la casella, le credenziali dell’utente o il dispositivo dal quale viene utilizzata. Le linee guida tecniche prevedono infatti l’autenticazione per l’accesso e misure di protezione dell’infrastruttura: requisiti che non eliminano il rischio di password sottratte, terminali infetti o account amministrativi compromessi. 

La lezione riguarda soprattutto le procedure di chi riceve richieste particolarmente invasive. Un messaggio proveniente da un indirizzo certificato non dovrebbe bastare, da solo, ad autorizzare la consegna di documenti e cronologie finanziarie. Quando la domanda coinvolge centinaia di persone o una quantità eccezionale di dati, servono verifiche ulteriori: contatti su canali indipendenti, controllo dei poteri del richiedente, validazione interna e applicazione del principio di minimizzazione.

Per la maggioranza dei clienti Revolut non coinvolti non emerge, allo stato, un motivo per spostare precipitosamente il denaro. Ma per le persone avvisate la cautela dovrà durare ben oltre i primi giorni: documenti e dati anagrafici possono essere riutilizzati anche a distanza di mesi. Il danno più concreto, in casi come questo, non è necessariamente l’accesso immediato al conto. È la possibilità che qualcuno conosca abbastanza della vittima da convincerla ad aprirgli la porta.