Revolut, colosso britannico dei pagamenti digitali, è finita al centro di un grave incidente di sicurezza che non ha riguardato una falla nei suoi sistemi, ma una sofisticata operazione di ingegneria sociale ai danni della banca e delle istituzioni italiane. Un gruppo di criminali informatici è riuscito a ottenere i dati personali e bancari di quasi 700 clienti Revolut fingendosi forze dell’ordine italiane, grazie al controllo di almeno un indirizzo di posta elettronica certificata (PEC) riconducibile al ministero dell’Interno.

Secondo quanto emerso, gli hacker – che si fanno chiamare “IAmNotAVillain” – avrebbero compromesso circa sei mesi fa un account PEC con dominio @pec.interno.it, utilizzato da strutture del Viminale. La casella compromessa è stata quindi utilizzata per inviare, alla sede lituana di Revolut, una richiesta di informazioni che appariva come una legittima indagine della procura di Milano.

In questo caso, la richiesta appareva formalmente corretta e proveniente da un dominio ufficiale, per questo avrebbe convinto Revolut a consegnare i dati richiesti senza ulteriori verifiche dirette con le forze dell’ordine.

Secondo quanto ricostruito, i criminali sarebbero così entrati in possesso di copie dei passaporti, indirizzi di residenza, numeri di conto e dettagli delle transazioni di centinaia di correntisti. La società ha confermato di aver individuato una “sofisticata truffa” e di aver immediatamente informato i clienti coinvolti, oltre a enti governativi, autorità di protezione dei dati, forze dell’ordine e autorità di vigilanza finanziaria. Revolut sostiene che i propri sistemi informatici non siano stati violati e che dai conti non siano stati sottratti fondi.

L’episodio solleva però interrogativi critici sulla sicurezza della posta certificata utilizzata dalla pubblica amministrazione e sulle procedure di verifica adottate dagli operatori finanziari di fronte a richieste massive di dati sensibili.

Se confermata nei dettagli, la vicenda rappresenterebbe uno dei casi più gravi in Europa di abuso di canali istituzionali per colpire un operatore fintech, evidenziando come la catena di sicurezza più vulnerabile non sia sempre il sistema informatico, ma la fiducia riposta nelle identità digitali delle pubbliche amministrazioni.