La vicenda Revolut è ormai nota. Nel settembre 2026 è emerso che uno dei maggiori gruppi fintech europei ha subito un’esfiltrazione di dati personali dei propri clienti a seguito di una richiesta fraudolenta proveniente da almeno un indirizzo di posta elettronica certificata (PEC) riconducibile alle forze dell’ordine italiane.
Nello specifico, i criminali si sarebbero serviti di un account PEC compromesso per richiedere — e ottenere — i dati di circa 700 clienti, tra cui copie di documenti di identità acquisiti nell’ambito delle procedure di adeguata verifica della clientela (cd. KYC — Know Your Customer), indirizzi di residenza, coordinate bancarie e dettagli sulle transazioni effettuate.
I criminali hanno successivamente formulato una richiesta estorsiva, minacciando la pubblicazione dei dati sottratti qualora non fosse stato corrisposto un riscatto di 3 milioni di euro entro 24 ore.
Indice degli argomenti
Il caso Revolut e la sicurezza delle richieste istituzionali
Il caso è di particolare interesse perché dimostra, ancora una volta, come il cd. social engineering (ossia l’insieme delle tecniche volte a manipolare il comportamento delle persone per carpire informazioni o sfruttarne la buona fede) sia stato la vera causa dell’esfiltrazione, e non una falla tecnica nei sistemi informatici della vittima. O meglio, una falla tecnica c’è stata, come accertato nel corso dell’interrogazione parlamentare presentata dagli on. Pastorella e Richetti lo scorso 18 settembre, ma ha riguardato la casella PEC delle forze dell’ordine italiane, circostanza che ha ingenerato nella società un legittimo affidamento circa l’autenticità della richiesta ricevuta.
Ci troviamo, in altri termini, di fronte a un sofisticato episodio di phishing non dissimile, nella dinamica, da quelli che possono colpire chiunque, ma le cui conseguenze sono state amplificate dalla natura dei soggetti coinvolti: da un lato, una banca, per la quale la riservatezza dei dati dei clienti rappresenta un interesse primario; dall’altro, un soggetto dotato di pubblica autorità, la cui identità è stata abusivamente sfruttata.
Il nodo della questione, pertanto, non risiede tanto nella solidità dei sistemi informatici della vittima, quanto piuttosto nelle procedure seguite dalle autorità pubbliche per formulare le richieste di dati e nei meccanismi di verifica dell’autenticità del mittente adottati dal destinatario. La dinamica dell’attacco è stata indubbiamente favorita dal contesto normativo e istituzionale.
La cooperazione giudiziaria in materia penale all’interno dell’UE è tradizionalmente regolata, tra gli altri strumenti, dall’Ordine di Indagine Europeo (European Investigation Order — EIO), che viene trasmesso dall’autorità dello Stato di emissione all’autorità dello Stato di esecuzione, seguendo canali ufficiali e verificabili.
Ciò nonostante, nel contesto italiano non è inusuale che un’autorità preferisca anticipare eventuali richieste facendo leva sulla volontà di cooperazione dei soggetti privati, piuttosto che attivare i canali istituzionali preposti. Questo, naturalmente, non può fungere da esimente, ma è una circostanza che indubbiamente contribuisce alla buona riuscita di una truffa.
Il Regolamento e-Evidence e i nuovi ordini europei
È in questo contesto che si inserisce la nuova normativa europea in materia di cd. e-evidence. Nel luglio 2023, il legislatore europeo ha adottato un pacchetto normativo composto dal Regolamento (UE) 2023/1543 relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale (il “Regolamento e-Evidence”) e dalla Direttiva (UE) 2023/1544 che stabilisce norme armonizzate sulla designazione di stabilimenti e sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove elettroniche nei procedimenti penali (la “Direttiva Rappresentanti”), con l’obiettivo di riformare in profondità l’accesso transfrontaliero alle prove elettroniche in ambito penale.
Il Regolamento e-Evidence, applicabile dal 18 agosto 2026, introduce due strumenti standardizzati: l’Ordine Europeo di Produzione e l’Ordine Europeo di Conservazione. Il primo consente a un’autorità di uno Stato membro di ordinare direttamente a un fornitore di servizi stabilito o operante nell’UE la produzione di prove elettroniche — quali dati relativi agli abbonati, dati relativi al traffico, messaggi di posta elettronica e messaggi di testo — indipendentemente dallo Stato membro in cui i dati sono conservati.
Il secondo consente di ordinare la conservazione dei dati per un periodo massimo di 60 giorni, in attesa di una successiva richiesta di produzione.
Il Regolamento impone termini stringenti: 10 giorni per rispondere a un ordine di produzione (ridotti a 8 ore nei casi di emergenza), con la previsione di sanzioni pecuniarie fino al 2% del fatturato mondiale annuo del fornitore in caso di inadempimento. La Direttiva Rappresentanti completa il quadro, imponendo ai fornitori di servizi operanti nell’UE di designare un rappresentante legale o uno stabilimento incaricato di ricevere e dare esecuzione a tali ordini.
Fornitori coinvolti ed esclusioni nella disciplina e-Evidence
Sotto il profilo soggettivo, il Regolamento si applica ai fornitori di servizi di comunicazione elettronica, ai prestatori di servizi di assegnazione di nomi di dominio e di numerazione IP, nonché ai fornitori di servizi della società dell’informazione che consentono ai propri utenti di comunicare tra loro o di conservare e trattare dati per loro conto. Il settore finanziario rimane escluso dall’ambito di applicabilità della normativa e-Evidence.
Come l’e-Evidence standardizza le richieste contro il social engineering
Le novità introdotte dal Regolamento e-Evidence meritano di essere analizzate nel dettaglio. Da un lato, la normativa introduce una standardizzazione delle richieste sull’intero territorio europeo: il contenuto degli ordini viene tipizzato in modo puntuale, con modelli uniformi e requisiti formali predeterminati che riducono drasticamente il margine di discrezionalità nella formulazione delle istanze e, di conseguenza, rendono assai più agevole il riconoscimento di richieste non autentiche o comunque anomale.
A ciò si aggiunge l’obbligo, in capo ai fornitori di servizi, di designare un soggetto interno specificamente incaricato della ricezione e della gestione di tali ordini. La creazione di una figura professionale dedicata consente di accentrare le verifiche di autenticità e di assicurare un livello di attenzione e di analisi che, in assenza di un simile presidio organizzativo, sarebbe difficilmente garantito.
È forse proprio questa la misura più significativa per arginare i fenomeni di social engineering, ovvero l’individuazione di soggetti preposti, specializzati nella gestione di questo genere di richieste, che hanno la responsabilità di verificare la correttezza formale dell’ordine e la regolarità della procedura. Ciò, naturalmente, non esclude che richieste informali continueranno a pervenire, ma favorirà certamente la creazione, in seno alle imprese, di presidi più strutturati e di professionalità maggiormente preparate a gestire simili istanze.
La piattaforma e-Evidence come infrastruttura di sicurezza
L’altro elemento di significativa novità è costituito dalla creazione di un sistema informatico decentrato interoperabile, ossia una piattaforma digitale sicura attraverso la quale le richieste vengono trasmesse, ricevute e gestite in via telematica.
Tale infrastruttura è destinata a sostituire i canali informali e frammentati che, come il caso in esame dimostra, si prestano a manipolazioni e abusi: la gestione centralizzata e tracciabile delle comunicazioni tra autorità richiedenti e destinatari privati rafforza la sicurezza a monte dell’intero sistema, garantendo l’autenticità del mittente, l’integrità del contenuto della richiesta e la piena tracciabilità di ogni passaggio.
In questo modo, il controllo della filiera resta saldamente in capo alle autorità preposte (in primis, a livello nazionale, l’Agenzia per la Cybersicurezza Nazionale – ACN) e si riduce sensibilmente il rischio che soggetti malintenzionati possano inserirsi nel processo simulando richieste istituzionali.
Dalla privacy alla sicurezza informatica con l’e-Evidence
Il dibattito sull’e-Evidence ruota quasi sempre attorno ai rischi per la privacy e alla potenziale compressione dei diritti fondamentali. Il caso Revolut suggerisce tuttavia una lettura complementare e altrettanto rilevante: le procedure formali e i canali autenticati per le richieste di dati non servono soltanto a tutelare gli utenti finali, ma riducono in modo significativo la superficie di attacco per chi intenda spacciarsi per un’autorità pubblica.
In altri termini, la standardizzazione e la tracciabilità introdotte dal Regolamento e-Evidence non rappresentano soltanto una garanzia procedurale, ma costituiscono un vero e proprio strumento a presidio della sicurezza informatica.
Partecipa alla community