La posta certificata che non certifica più: il caso Revolut e le fragilità della PA

Una casella PEC della Prefettura di Reggio Calabria, mai usata dall’ufficio, è finita in mano a un gruppo di hacker. Per mesi l’ha usata per farsi consegnare da Revolut i dati di 680 clienti. La vicenda apre due fronti: la solidità degli accessi nella Pubblica Amministrazione e i controlli che una banca deve fare prima di rispondere a un’autorità.

Il quadro è aggiornato al 2 ottobre 2026. Le indagini sono in corso e alcuni elementi vengono solo dai presunti autori dell’attacco. Ho segnalato dove i fatti sono accertati e dove no.

Una richiesta educata, una banca che si fida

Gli investigatori descrivono un attacco senza effrazione. Nessuna intrusione nei server della banca: gli aggressori avrebbero sfruttato un canale autentico per farsi riconoscere come interlocutore autorizzato. L’ANSA ha riassunto lo schema con un’immagine efficace: chiedere gentilmente, spacciandosi per la polizia, il permesso di entrare.

Il bottino è passaporti, carte d’identità, conti bancari e operazioni in bitcoin di 680 correntisti, secondo la stima del Financial Times. Revolut sostiene che i suoi sistemi e i fondi dei clienti non sono stati toccati. Il danno sta nell’esposizione dei dati, che alimenta il rischio di phishing e impersonificazione nelle settimane successive.

Cronologia di un incidente

• Da alcuni mesi prima di settembre. Le richieste arrivano a Revolut. Le fonti non concordano sulla durata: AGI parla di almeno due mesi di scambi, altre ricostruzioni di circa cinque.
• 12 settembre. Revolut notifica all’Agenzia per la cybersicurezza nazionale (ACN) un possibile incidente informatico.
• 15 settembre. Revolut conferma i fatti. Le agenzie rilanciano la notizia, e la Polizia Postale indaga per accesso abusivo a sistema informatico e frode informatica.
• 18 settembre. Alla Camera, rispondendo a Giulia Pastorella (Azione), la sottosegretaria all’Interno Wanda Ferro conferma che una PEC della prefettura di Reggio Calabria è stata compromessa. Il CSIRT Italia, la struttura dell’ACN, ha accertato la compromissione analizzando un campione fornito da Revolut e una delle email degli attaccanti.
• 30 settembre. In question time alla Camera, il ministro Piantedosi sostiene che Revolut avrebbe potuto e dovuto verificare la richiesta.

Anatomia del raggiro: autentica non significa autorizzata

Il punto tecnico è sottile e decisivo. Il messaggio proveniva da un dominio istituzionale reale e superava i controlli SPF, DKIM e DMARC, che attestano il server di provenienza e non l’autorità di chi scrive.

Su questo c’è un’osservazione condivisa dagli analisti. La PEC certifica origine e trasmissione del messaggio, ma non può garantire che chi controlla la casella sia ancora il soggetto autorizzato. Un account sottratto resta formalmente istituzionale anche quando dietro non c’è più l’amministrazione. Un’altra analisi osserva che una PEC autentica è un elemento di affidabilità, non una fonte autonoma di potere.

Qui si divide la responsabilità. Il Viminale deve spiegare come una casella pubblica sia stata violata. Revolut deve spiegare perché una casella compromessa abbia potuto ottenere per mesi informazioni bancarie su centinaia di persone. Sono due domande distinte, e rispondere a una non assolve dall’altra.

La stessa informativa privacy di Revolut ammette la condivisione di dati con le autorità. Resta aperta la questione dell’autenticazione di chi li chiede, anche perché altre ricostruzioni parlano di dati consegnati senza un provvedimento dell’autorità giudiziaria.

La “pista romana”: cosa è accertato e cosa no

Nei primi giorni la ricostruzione puntava altrove. Secondo ricercatori di International Cyber Digest, ripresi da Punto Informatico, la PEC usata potrebbe appartenere a un dipendente della Polizia Postale, ufficio di Roma, con dominio interno.it. Nella versione degli hacker, la richiesta sarebbe passata attraverso un ordine europeo di indagine.

Questa “pista romana” non coincide con quanto confermato in Parlamento. La versione ufficiale parla della casella della Prefettura di Reggio Calabria. Il ministro l’ha descritta come una casella «entilocali» che risulta mai utilizzata dall’ufficio.

Le due ricostruzioni non sono necessariamente incompatibili. È possibile che più caselle del dominio siano state toccate, ma questo non è dimostrato. Il gruppo che si fa chiamare “IAmNotAVillain” afferma di possedere 147 GB di dati della Polizia e ha pubblicato anteprime con documenti attribuiti a ambasciate e uffici della Polizia di Stato. Sono rivendicazioni dei responsabili dell’attacco, non verifiche indipendenti. Il gruppo avrebbe chiesto inoltre un riscatto di 3 milioni di dollari. Chi scrive deve tenerle distinte dai fatti accertati.

Anche i numeri sui clienti italiani divergono. Ferro parla di otto italiani su 680, gli hacker sostengono che siano almeno quindici.

Indagini e vigilanza: chi guarda cosa

Il perimetro istituzionale è ampio.

• Magistratura e polizia. La Procura di Reggio Calabria ha aperto un fascicolo per accesso abusivo a un sistema informatico di interesse pubblico (art. 615-ter, comma 3, c.p.). Risulta attivata anche la Direzione Nazionale Antimafia e Antiterrorismo, e la Polizia Postale continua gli accertamenti.
• ACN e CSIRT Italia. Hanno ricevuto la segnalazione il 12 settembre e hanno certificato tecnicamente la compromissione.
• Banca d’Italia. Lavora sul caso con ACN e Polizia Postale. Le prime verifiche, riferisce MF-Milano Finanza, si concentrano sull’origine della mail, per capire se si tratti di spoofing. Sul ruolo di Via Nazionale le informazioni pubbliche sono scarse e conviene non attribuirle poteri che le fonti non menzionano. Revolut opera sul mercato italiano tramite la licenza lituana, e il Garante non rivendica competenza su Revolut e si limita a informare Vilnius.
• Garante privacy. Dal 18 settembre ha chiesto ai responsabili della protezione dei dati delle banche italiane una solerte verifica dei sistemi e vuole sapere se altri istituti abbiano ricevuto richieste simili. Ha ammesso che il caso ha evidenziato alcuni lati deboli delle PEC ufficiali in uso.
• Regno Unito. La Financial Conduct Authority sta valutando le misure di sicurezza adottate dalla banca.

La partita politica

L’opposizione ha mosso su più fronti. I senatori PD Lorenzo Basso e Antonio Nicita hanno depositato un’interrogazione urgente al ministro dell’Interno. Elisabetta Piccolotti (AVS) ha chiesto di capire se sia stata violata solo la casella o anche altri sistemi del Viminale, se siano coinvolte altre forze dell’ordine e se il ministero sappia di truffe analoghe ad altri istituti. Pastorella ha definito la vicenda di una gravità inaudita, qualora venisse confermata l’autenticità dei documenti pubblicati dagli hacker. Il Codacons ha chiesto di accertare quante istituzioni italiane siano state violate e quali PEC siano state usate.

La domanda che attraversa tutte le interrogazioni è quella del titolo: quante altre comunicazioni fraudolente possono essere partite dalla stessa casella?

La risposta del Governo ha spostato il centro di gravità. Il 30 settembre Piantedosi ha attribuito alla fintech buona parte della responsabilità. Non ha però spiegato come gli hacker abbiano preso il controllo dell’account, né commentato le rivendicazioni del gruppo. Ha annunciato la convocazione del Comitato analisi per la sicurezza cibernetica del Ministero, per individuare nuove soluzioni tecniche nell’ambito del contratto Consip per le caselle PEC.

L’argomento della diligenza di Revolut è solido, e gli analisti lo condividono. Non esaurisce però il problema. Una banca che sbaglia un controllo non spiega perché la casella di una prefettura fosse nelle mani sbagliate.

Credenziali di Stato: il nodo dell’accesso e dell’autenticazione

Qui conviene dichiarare i limiti. Il Governo non ha detto da quando la casella fosse compromessa, con quale tecnica, se fosse protetta dall’autenticazione a due fattori, né quante altre caselle del dominio interno.it siano state controllate. Che l’autenticazione a più fattori fosse assente o aggirata non è un fatto accertato. Uno degli analisti che hanno seguito la vicenda avverte che le informazioni pubbliche non consentono di trasformare questa ipotesi in un fatto accertato.

Le domande da porre alle amministrazioni sono però note, e restano valide qualunque sia l’esito dell’indagine:

1. Caselle dormienti. Una PEC mai usata dall’ufficio è un bersaglio ideale: nessuno nota un accesso anomalo. Serve un inventario delle caselle attive e la dismissione di quelle inutilizzate.
2. Autenticazione forte. Password e OTP via SMS si possono rubare con il phishing. Per account capaci di esercitare poteri di richiesta verso terzi, le soluzioni resistenti al phishing (chiavi FIDO2, certificati) sono lo standard da perseguire.
3. Monitoraggio. Accessi da luoghi insoliti, regole di inoltro e cancellazioni massive sono segnali rilevabili. Per un account del Viminale dovrebbero generare allarmi.
4. Responsabilità lungo la filiera. Il servizio PEC è fornito tramite contratto Consip: la sicurezza dipende dall’amministrazione e dal fornitore insieme, e il perimetro delle responsabilità andrebbe esplicitato.
5. Verifica fuori banda, lato destinatari. Le banche dovrebbero confermare richieste sensibili tramite un canale indipendente, per esempio un recapito noto o un registro ufficiale delle autorità abilitate. È il controllo che, secondo l’analisi di Piantedosi, sarebbe bastato.

Queste misure sono osservazioni generali di buona prassi, non ricostruzioni di ciò che è accaduto nel caso specifico.

Le domande ancora aperte

• Da quando la casella era in mano a terzi e con quale tecnica è stata violata?
• Era attiva l’autenticazione a più fattori, e di che tipo?
• Altre caselle di interno.it sono state usate per richieste analoghe? E altre banche hanno ricevuto messaggi simili?
• Il ministero ha notificato la violazione al Garante nei termini previsti dal GDPR?
• Quanto è autentico il materiale pubblicato dagli hacker?
• Quanti sono davvero i clienti italiani coinvolti?

Perché questo caso riguarda tutti

La vicenda Revolut racconta un rischio che si chiama fiducia trasferita: un’identità pubblica rubata vale quanto un’identità pubblica vera, finché nessuno controlla. Per la PA significa trattare le caselle istituzionali come credenziali di Stato, con la stessa cura riservata ai sistemi più critici. Per le banche significa che il dominio giusto non basta più come prova di autorità.

I cittadini, intanto, hanno poco da fare se non difendersi: chi è cliente Revolut e non ha ricevuto avvisi diretti, con ogni probabilità, non rientra tra i coinvolti, ma resta utile attivare l’autenticazione a due fattori e controllare i movimenti. La risposta vera spetta alle istituzioni. Le indagini diranno chi ha colpito e come. Spetta al Parlamento e al Governo trasformare questo episodio in un’azione sistematica, prima che la prossima casella dormiente diventi la porta d’ingresso della prossima truffa.

Fonti principali: ANSA, AGI, Il Fatto Quotidiano, Milano Finanza, LaPresse, Quotidiano.net, Punto Informatico, Calabria7, Byte.it, CyberSecItalia, Matrice Digitale, Altalex, Silere non possum, sito di Alleanza Verdi e Sinistra.

Se ti serve, posso preparare questo articolo in HTML per AboutMagazine.it.