Oltre il firewall: quando l’attacco sfrutta la fiducia procedurale
Non hanno bucato un firewall. Non hanno scritto una riga di malware contro i sistemi di Revolut, e su questo punto la fintech britannica è stata cristallina fin dal primo comunicato: i propri sistemi e i fondi dei clienti non sono stati toccati.
Per cinque, forse sei mesi, un gruppo che si fa chiamare IAmNotAVillain ha semplicemente abitato una casella di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria, presa in mano tramite un infostealer capace di rubare credenziali da un endpoint compromesso, e da lì ha iniziato a scrivere.
Fingendosi Polizia Postale, ha chiesto indirizzi, numeri di telefono, cronologie di transazioni, spiegando che servivano per accertamenti in corso.
Revolut ha risposto. Più volte. Per mesi. Perché quella mail arrivava da un dominio governativo autentico, con tutte le credenziali tecniche di autenticazione al loro posto, e nessuna organizzazione, per quanto sofisticata, è progettata per dubitare sistematicamente dello Stato che le scrive.
È qui che si gioca la partita che nessuna analisi puramente tecnica del breach può cogliere da sola: l’attacco non ha sfruttato una falla nel codice, ha sfruttato una falla nella fiducia procedurale.
L’inganno del dominio autentico: la sovrapposizione tra tecnica e legittimità
L’autenticazione tecnica di un dominio — quella verificabile via SPF, DKIM, DMARC — è stata trattata come se fosse equivalente alla legittimità della richiesta che quel dominio veicolava.
Sono due cose diverse, concettualmente distinte, e la loro sovrapposizione inconsapevole è precisamente il varco che l’operazione ha attraversato per mesi, indisturbata.
Più un’organizzazione è efficiente nel rispondere rapidamente alle richieste delle autorità — un obbligo di legge, non una gentilezza discrezionale — più quell’efficienza diventa, paradossalmente, la superficie che un attore paziente può colonizzare.
I segnali d’allarme, con il senno di poi, c’erano tutti: la Polizia Postale dispone di una propria PEC, diversa da quella di una Prefettura, e le richieste di questo tipo dovrebbero normalmente essere accompagnate da un decreto dell’autorità giudiziaria, elemento che secondo le ricostruzioni sarebbe mancato in tutte le comunicazioni fraudolente.
Nessuno li ha notati, perché nessuno stava cercando anomalie in un flusso che la routine aveva reso invisibile.
Ed è un punto che merita di essere ribadito con forza, perché rovescia l’intuizione comune sulla sicurezza informatica: il rischio non nasce quando una procedura è debole, nasce quando una procedura funziona troppo bene, troppo silenziosamente, troppo a lungo senza incidenti.
C’è poi un dettaglio che la cronaca ha citato ma raramente collegato al resto del quadro: non è stata una richiesta a tappeto, indiscriminata, come ci si aspetterebbe da un attacco opportunistico contro un database di massa.
Ingegneria cognitiva e targeting selettivo: non un attacco di massa
Il gruppo rivendica dati relativi ad almeno 680 clienti sparsi in 33 Paesi, e tra questi compaiono profili di altissimo valore, come l’ex amministratore delegato di Mt Gox Mark Karpelès, mentre più fonti indipendenti indicano che il targeting si sarebbe concentrato in particolare su chi detiene grandi patrimoni in criptovalute.
Questo significa una cosa sola, e va detta con chiarezza: qualcuno sapeva già, prima ancora di scrivere a Revolut, quali nominativi valeva la pena richiedere.
La PEC compromessa è stata il canale di esfiltrazione, non la fonte dell’intelligence. Da qualche parte, prima ancora che la prima email fraudolenta partisse, c’è stata una fase di ricognizione — probabilmente costruita incrociando fughe di dati pregresse del mondo crypto ed exchange con informazioni pubbliche disponibili in rete, ma verosimilmente affinata anche osservando, mese dopo mese, il traffico reale che passava per quella casella compromessa, imparando non solo la forma burocratica delle richieste legittime ma anche, potenzialmente, quali profili generavano già interesse investigativo autentico da parte delle forze dell’ordine.
I quattro ingranaggi psicologici dello sfruttamento della fiducia
È ingegneria cognitiva applicata su scala quasi industriale: non un tentativo isolato di phishing con l’esca lanciata a caso, ma la costruzione lenta e incrementale di una relazione di fiducia con un interlocutore che, richiesta dopo richiesta, smette di percepire il rischio proprio perché nulla, fino a quel momento, è andato storto.
Vale la pena ricordare che Revolut non è nuova a incidenti di questo tipo: nel 2022 l’azienda aveva già subito un attacco basato su ingegneria sociale che aveva esposto dati di circa 50mila clienti, un precedente che avrebbe dovuto, in teoria, rafforzare i riflessi difensivi dell’organizzazione.
Non lo ha fatto, o non abbastanza, ed è un secondo dato su cui vale la pena riflettere: la memoria organizzativa di un incidente pregresso non si traduce automaticamente in resilienza contro un vettore diverso, per quanto concettualmente imparentato.
Il meccanismo psicologico sfruttato in questa vicenda ha una struttura precisa, che vale la pena scomporre passaggio per passaggio perché è replicabile, e lo sarà, contro altre organizzazioni.
Il primo ingranaggio è l’euristica dell’autorità formale: un dominio governativo verificato genera una scorciatoia cognitiva quasi automatica, per cui se un messaggio proviene da un ente sovrano allora deve essere legittimo.
L’effetto sciame: quando il mercato criminale si attiva attorno a un bersaglio esposto
Questa scorciatoia è tanto più forte quanto più l’organizzazione ricevente percepisce sé stessa come soggetta, e non come pari, rispetto all’autorità statale mittente — ed è esattamente la posizione in cui si trovava Revolut, una fintech straniera in piena fase di ottenimento di licenze bancarie multiple in giurisdizioni diverse, con ogni incentivo procedurale a non contestare mai una richiesta apparentemente legale proveniente da un’autorità pubblica di un Paese in cui opera.
Il secondo ingranaggio è quello che si potrebbe chiamare confusione tra canale e contenuto: la sicurezza tecnica del mezzo di trasporto del messaggio — la PEC, autenticata e cifrata per definizione normativa — viene trasferita, senza che nessuno se ne accorga, alla legittimità sostanziale di ciò che quel messaggio chiede.
È un bias molto comune anche nella sicurezza informatica più classica: ci si fida più del dove arriva un messaggio che del cosa chiede davvero e del come lo chiede.
Il terzo ingranaggio è l’assuefazione procedurale: gli istituti finanziari ricevono quotidianamente centinaia di richieste legittime da autorità di polizia e giudiziarie in tutta Europa, e un flusso operativo iper-standardizzato, ottimizzato per la velocità di compliance normativa e per evitare sanzioni da mancata collaborazione con le autorità, riduce strutturalmente lo spazio cognitivo dedicato alla verifica caso per caso.
Più il processo è maturo, rodato, veloce, più diventa terreno fertile per un mimetismo procedurale ben costruito.
Il quarto ingranaggio, probabilmente il più sofisticato dal punto di vista operativo, è il gradualismo come tecnica di disinnesco del sospetto.
La persistenza di cinque, sei mesi non è un dettaglio incidentale della cronaca: è la tecnica stessa, il cuore dell’operazione.
Per mesi gli attaccanti si sarebbero finti agenti, chiedendo alla banca indirizzi, numeri di telefono e cronologie delle transazioni per accertamenti in corso, presumibilmente partendo da richieste meno sensibili per costruire uno storico di interazione senza incidenti con quel mittente.
Uno storico che agisce psicologicamente come prova cumulativa di affidabilità, anche in totale assenza di qualunque verifica indipendente reale.
Il contesto transnazionale e l’asimmetria informativa delle Fintech
È esattamente lo stesso meccanismo cognitivo che rende efficaci le frodi a basso e lento nel fraud management bancario tradizionale: l’assenza di allarmi pregressi viene letta, quasi automaticamente, come conferma di legittimità, quando in realtà è soltanto assenza di rilevamento.
La tecnica con cui gli attaccanti avrebbero mantenuto il controllo della casella — leggendo, cancellando e inviando messaggi al posto del titolare secondo il pattern noto come man in the mail — permette esattamente questo tipo di persistenza silenziosa, mesi interi senza che il vero titolare della PEC si accorga di nulla, mentre all’esterno il flusso di richieste appare del tutto normale, formalmente ineccepibile, quasi noioso nella sua routine.
Va aggiunta una considerazione che riguarda l’asimmetria informativa transnazionale, elemento strutturale e non tecnico che ha reso possibile l’intera operazione.
La reazione istituzionale e l’effetto sciame dei gruppi estorsivi
Revolut è un’azienda britannica con licenza bancaria principale in Lituania, che riceve una richiesta da un’autorità di un terzo Paese, l’Italia, con cui non ha necessariamente la stessa familiarità operativa quotidiana che ha con le proprie autorità di riferimento dirette.
Verificare le prassi di un’autorità amministrativa straniera — una Prefettura, con un organo di polizia in senso stretto — richiede una competenza specifica che un ufficio compliance centralizzato e multi-giurisdizionale può non possedere in modo uniforme per ogni singolo Paese in cui l’azienda opera.
Questa non è una colpa individuale di un funzionario disattento: è una vulnerabilità strutturale di qualunque fintech a scala paneuropea, che gestisce contemporaneamente decine di quadri normativi diversi con un unico ufficio centrale, e che quindi non può permettersi lo stesso livello di conoscenza granulare delle prassi locali che avrebbe una banca radicata in un solo Paese.
Crescita valutativa e capitale reputazionale: perché il tempismo amplifica l’impatto del breach
Ed è proprio qui che entra in gioco la variabile temporale, quella che rende il caso Revolut interessante ben oltre la cronaca giudiziaria calabrese, e che merita di essere trattata con la massima precisione possibile perché è facile scivolare nell’approssimazione.
L’incidente è esploso pubblicamente proprio mentre la fintech britannica si trova nel pieno della costruzione della propria narrativa di affidabilità istituzionale: a luglio 2026 ha completato un collocamento secondario che ha portato la valutazione a 115 miliardi di dollari, in rapida progressione dai 75 miliardi di novembre 2025, e nello stesso periodo ha ottenuto la licenza bancaria piena nel Regno Unito e presentato domanda per una licenza bancaria negli Stati Uniti, con l’obiettivo dichiarato agli investitori di un futuro sbarco in borsa valutato tra 150 e 200 miliardi di dollari.
Va detto con esattezza, perché conta ai fini dell’analisi: non si tratta di un’IPO imminente, il CEO Nik Storonsky ha parlato pubblicamente di un orizzonte 2028, non di settimane o mesi.
Ma la sostanza del punto resta valida anche corretta la premessa: siamo in una fase in cui Revolut si presenta contemporaneamente come banca vera a tre regolatori diversi — britannico, statunitense, e attraverso la propria licenza lituana anche europeo — e come infrastruttura finanziaria matura e affidabile ad investitori istituzionali che la stanno prezzando quasi al livello di gruppi bancari storici come Barclays o BNP Paribas.
È un momento in cui il capitale reputazionale vale, letteralmente, decine di miliardi di dollari di differenza tra una valutazione e l’altra.
Non ci sono prove che gli attaccanti abbiano scelto quel momento specifico con questo calcolo strategico in mente: più probabilmente il tempismo dell’esposizione pubblica è stato dettato dall’inchiesta del Financial Times, che ha contattato il gruppo su Telegram innescando la fase di monetizzazione pubblica attraverso la minaccia di vendita dei dati.
Ma la coincidenza resta un dato analiticamente rilevante da studiare, indipendentemente dall’intenzionalità, perché mostra quanto le aziende ad alta crescita valutativa siano strutturalmente più esposte a un moltiplicatore reputazionale degli incidenti di sicurezza, a prescindere dalla volontà di chi le colpisce.
Un data breach identico, per portata e gravità, avrebbe un impatto mediatico e negoziale molto diverso se colpisse un’azienda in fase di stallo piuttosto che una che sta letteralmente vendendo agli investitori la propria narrativa di fiducia crescente.
L’effetto sciame criminale: quando il mercato nero specula sull’esposizione mediatica
Non a caso, nel giro di poche ore dalla prima esposizione pubblica, è comparso un secondo gruppo, ribattezzatosi Revolut Smilik, con una richiesta di riscatto da diecimila bitcoin, quasi 780 milioni di dollari, una cifra così sproporzionata rispetto a qualunque logica di monetizzazione realistica da tradire più un tentativo opportunistico di cavalcare l’onda mediatica generata da altri che un secondo accesso reale ai dati.
È l’effetto sciame: un ecosistema criminale che, in tempo reale, riconosce il valore mediatico di un bersaglio esposto e si auto-organizza per spremerlo ulteriormente, mentre IAmNotAVillain intanto formalizzava la propria richiesta concreta — seimila Monero, circa tre milioni di dollari, da pagare entro 24 ore pena la vendita o diffusione pubblica dei dati sottratti, con tanto di countdown pubblicato online per aumentare la pressione psicologica sulla controparte.
Va detto con la stessa onestà metodologica che l’analisi richiede: su chi sia davvero IAmNotAVillain non sappiamo quasi nulla di solido.
Dichiarazioni contro fatti: come distinguere le reali trafugazioni dalle leve estorsive
Non è chiara la nazionalità del gruppo o dell’individuo che se ne fa portavoce, non è chiaro se si tratti di un collettivo strutturato o di una singola persona che opera sotto uno pseudonimo collettivo, non è nemmeno accertato con certezza definitiva se la casella della Prefettura sia stata compromessa dall’esterno tramite l’infostealer descritto o clonata con altre modalità tecniche. Anche la cifra di 147 gigabyte e oltre 87mila file distribuiti in oltre 5mila cartelle, presunti documenti riconducibili alle forze dell’ordine italiane e rivendicati dal gruppo stesso durante la fase di estorsione, va trattata per quello che è: un’affermazione di un attore che ha ogni interesse a massimizzare la percezione del danno per aumentare la propria leva negoziale, non un dato verificato da fonte istituzionale indipendente.
La distinzione non è accademica: confondere ciò che un attaccante dichiara di avere con ciò che ha effettivamente ottenuto è uno degli errori più comuni, e più pericolosi, nella gestione mediatica di un incidente di sicurezza, perché alimenta una spirale di panico che finisce per servire proprio gli obiettivi negoziali dell’attaccante.
Nel frattempo la macchina istituzionale si è messa in moto su più fronti paralleli, ed è utile ricostruirla perché racconta quanto sia diventata complessa, oggi, la gestione di un incidente che attraversa contemporaneamente diritto penale, protezione dei dati, vigilanza bancaria e diplomazia amministrativa.
Una crisi sistemica: l’intervento incrociato tra autorità giudiziarie, garanti e cybersecurity
La Polizia Postale indaga per accesso abusivo a sistema informatico e frode informatica, la Procura della Repubblica di Reggio Calabria ha aperto un fascicolo specifico sulla vicenda, mentre proseguono parallelamente le verifiche sul sistema informatico del ministero dell’Interno e sulla casella PEC della Prefettura per ricostruire con precisione la dinamica dell’intrusione. L’Autorità Garante per la Protezione dei Dati Personali ha avviato una verifica immediata su tutti gli istituti bancari italiani, inviando una comunicazione alla rete dei responsabili della protezione dei dati degli istituti di credito con l’invito a controlli solerti sui propri sistemi, e ha aperto al contempo un canale di coordinamento con l’omologa autorità lituana, dato che è in Lituania che si trova la licenza bancaria principale di Revolut in Europa — un dettaglio che da solo racconta quanto sia diventata transnazionale, e quindi strutturalmente difficile da presidiare in modo uniforme, la superficie di fiducia su cui oggi si regge una fintech paneuropea.
Sul piano politico, due senatori del Partito Democratico e una deputata di Alleanza Verdi e Sinistra hanno depositato interrogazioni urgenti al ministro dell’Interno, mentre il Codacons ha chiesto alle autorità competenti di accertare l’ampiezza reale dell’attacco.
Anche la Banca d’Italia e l’Agenzia per la Cybersicurezza Nazionale risultano coinvolte nelle verifiche in corso, segno che l’incidente è stato classificato, correttamente, come questione di rilevanza sistemica per il settore finanziario nazionale e non come episodio isolato circoscrivibile a un singolo istituto.
Oltre il codice sorgente: quando l’efficienza della collaborazione operativa diventa una trappola
Ed è proprio questa la lezione che resta, spogliata di ogni tecnicismo e di ogni cronaca giudiziaria: nessun sistema informatico di Revolut è stato violato, perché non ce n’era bisogno.
Un’organizzazione che riceve ogni giorno centinaia di richieste legittime dalle autorità sviluppa, per pura necessità operativa, un riflesso di collaborazione rapida — ed è esattamente quel riflesso, non una vulnerabilità del codice sorgente, ad essere stato preso di mira con precisione chirurgica.
Verificare la validità tecnica di un dominio non basta più, e probabilmente non è mai bastato, solo che nessuno se ne era accorto fino a quando qualcuno non ha deciso di sfruttarlo sistematicamente.
Il paradosso dell’assenza di attrito: ripensare i campanelli d’allarme nelle procedure di conformità
Serve un secondo canale indipendente di conferma, fuori banda rispetto alla email ricevuta, prima di evadere qualunque richiesta che tocchi dati sensibili di clienti ad alto profilo o alto patrimonio.
Serve una mappa aggiornata, giurisdizione per giurisdizione, di come una richiesta legittima da un’autorità straniera debba realmente presentarsi nella forma, decreto giudiziario incluso, trattata come asset di intelligence difensiva permanente e non come mero adempimento burocratico da aggiornare una tantum.
E serve soprattutto un cambio culturale nella formazione alla sicurezza, che finora si è concentrata quasi esclusivamente sul phishing tecnico — link sospetti, allegati malevoli, domini leggermente storpiati — e ha lasciato scoperto il fianco più insidioso e meno intuitivo: riconoscere che un mittente autorevole non è, per ciò solo, un mittente legittimo per quella specifica richiesta, e che paradossalmente l’assenza di attrito in una procedura, la fluidità perfetta con cui una richiesta sensibile viene evasa, può essere essa stessa il primo segnale d’allarme, non una conferma di normalità.
Conclusioni: quale lezione per la sicurezza aziendale
Va aggiunta, infine, una riflessione più ampia sulla counterintelligence difensiva che le organizzazioni esposte a richieste a fiducia istituzionale — banche, fintech, assicurazioni, operatori delle telecomunicazioni — dovrebbero trarre da questo episodio. Se il targeting selettivo osservato nel caso Revolut è stato reso possibile da una ricognizione preliminare sui clienti ad alto patrimonio in criptovalute, allora le organizzazioni dovrebbero investire sistematicamente in attività di monitoraggio della propria esposizione informativa esterna: capire quali informazioni sui propri clienti di alto profilo siano ricostruibili da fonti aperte o da correlazione incrociata di data breach pregressi di terzi, per anticipare quali segmenti di clientela risultino più esposti a un targeting mirato futuro.
Allo stesso modo, il coordinamento avviato tra l’Autorità Garante italiana e quella lituana, per quanto tempestivo, resta un meccanismo attivato dopo l’esposizione pubblica dell’incidente: andrebbe istituzionalizzato in forma permanente, come canale di allerta rapida strutturale tra autorità di protezione dei dati di Paesi diversi, dato che la natura ormai intrinsecamente transnazionale delle fintech moderne rende insufficiente qualunque meccanismo di risposta puramente nazionale e reattivo. Infine, la comparsa quasi immediata di un secondo attore opportunistico come Revolut Smilik dovrebbe entrare stabilmente nei playbook di gestione delle crisi reputazionali: le organizzazioni dovrebbero predisporre in anticipo un protocollo per distinguere pubblicamente, con evidenze verificabili e comunicazione tempestiva, le rivendicazioni credibili da quelle puramente opportunistiche, per evitare che l’ambiguità informativa finisca per alimentare essa stessa la pressione mediatica e negoziale, in una spirale che alla fine avvantaggia soprattutto chi l’ha innescata.
Il caso Revolut, in definitiva, non si chiuderà quando la Procura di Reggio Calabria concluderà le proprie indagini, né quando l’ultima richiesta di riscatto sarà stata pagata, ignorata o negoziata.
Si chiuderà, se mai si chiuderà davvero, quando smetteremo di trattare la fiducia istituzionale come un dato di fatto acquisito una volta per tutte, invece che come la superficie d’attacco dinamica e in continua evoluzione che questi mesi hanno dimostrato essere.
La tecnologia della sicurezza informatica ha fatto passi enormi nel proteggere reti, endpoint, credenziali.
Molto meno è stato fatto per proteggere il livello su cui questa vicenda si è consumata interamente: quello, più fragile e meno visibile, della fiducia procedurale tra istituzioni, che nessun firewall può mai davvero presidiare da solo.
