Richieste dell’autorità contraffatte: il caso Revolut e la verifica delle istanze

Per mesi qualcuno ha scritto alla banca Revolut da una casella di posta elettronica certificata del Ministero dell’interno, presentandosi come investigatore. Ha ottenuto documenti d’identità, immagini di verifica facciale e cronologie complete di transazioni di circa 680 clienti. Nessun sistema di Revolut è stato violato e nessun controllo tecnico di autenticazione è stato eluso. È mancato il controllo su un requisito di legge. Per avere quei dati serve un atto dell’autorità giudiziaria, e serve che arrivi per la via prevista. Le schermate diffuse dai ricercatori mostrano un atto, un ordine europeo di indagine attribuito alla procura di Milano. Nessuna autorità ne ha confermato l’autenticità, e la via seguita non era comunque quella che la legge impone.

Aggiornamento del 17 settembre. Rispetto alla versione del 15 settembre cambiano cinque cose. Le schermate circolate nei giorni scorsi mostrano che alle richieste era allegato un documento presentato come ordine europeo di indagine, elemento che modifica la ricostruzione proposta in prima battuta: la sua autenticità non risulta accertata. Il Garante per la protezione dei dati personali ha chiesto alle banche italiane di verificare come rispondono alle richieste delle autorità. La Direzione nazionale antimafia e antiterrorismo segue il caso. Chi rivendica l’operazione ha pubblicato un ultimatum a Revolut, sei mila monero pari a circa tre milioni di dollari, con scadenza oggi. La platea colpita risulta distribuita su trentatré paesi.

Che cosa è successo

Il 12 settembre 2026 Revolut ha confermato di avere comunicato dati di clienti a un soggetto non autorizzato. Le richieste arrivavano da un indirizzo attivo sul dominio legittimo di un’agenzia governativa. Superavano i controlli tecnici di autenticazione della posta: secondo l’analisi di KELA i messaggi passavano le verifiche SPF, DKIM e DMARC. La stessa analisi precisa un punto che spiega la dinamica: le funzioni legale e di conformità hanno rilasciato i documenti con una valutazione manuale, scambiando quelle istanze per ordini autentici. Nessun perimetro è stato forzato, perché non c’era nulla da aggirare. Il processo ha funzionato come era stato progettato, ed era falso ciò che vi è entrato.

Quattro giorni dopo, al Financial Times, l’azienda ha precisato l’inquadramento. Si è trattato dell’uso fraudolento di un canale di comunicazione legale ufficiale, regolato dallo Stato, per simulare richieste di un’autorità legittima. Una persona informata dei fatti ha confermato alla stessa testata che le istanze sono arrivate per PEC e che lo scambio è durato mesi.

I clienti notificati sono circa 680, secondo il Financial Times. Revolut non ha confermato la cifra. L’ANSA riferisce che gli interessati risiedono in trentatré paesi, in prevalenza europei.

I dati consegnati

Dalla notifica inviata agli interessati risultano nome, data di nascita, professione, indirizzo postale, indirizzo di posta elettronica, numero di telefono e copia del documento d’identità, passaporto o patente. La stessa notifica indica come possibilmente coinvolti il selfie di verifica, gli estratti conto con IBAN, i prelievi e la cronologia completa delle operazioni, comprese quelle in criptovaluta. La distinzione resta quella della comunicazione aziendale: la prima categoria è data per trasmessa, la seconda per esposta in via potenziale.

È, in sostanza, l’intero fascicolo raccolto per adempiere agli obblighi di adeguata verifica della clientela. Uno degli interessati, l’imprenditore Marc Zeller, ha osservato pubblicamente il paradosso: dati raccolti per obbligo di legge, e proprio per questo disponibili in un unico blocco.

L’estorsione era già in corso

Le persone colpite risultavano ricattate prima che Revolut se ne accorgesse. Lo ricostruisce ISMG. Felix Römer, amministratore delegato della piattaforma Gamdom, ha reso pubblica la schermata di un tentativo di estorsione datata 26 luglio. La notifica ai clienti è partita l’11 settembre.

Fra il momento in cui gli attaccanti hanno iniziato a monetizzare e il momento in cui la banca ha avvisato gli interessati sono quindi passate settimane. Il ricercatore Korra, in contatto con l’attaccante, riferisce che almeno una delle persone colpite riceve minacce di sequestro ritenute credibili.

Mark Karpelès, già amministratore delegato di Mt Gox, ha raccontato al Financial Times di avere ricevuto la notifica alle 5:25 del 12 settembre e di averla scambiata per una truffa. La sua valutazione coincide con il problema di fondo: quelle informazioni non andavano trasmesse, a prescindere dall’apparente autenticità del richiedente.

Chi poteva chiedere quei dati

Prima di ogni valutazione sull’autenticità del messaggio, e prima ancora di quella sul documento allegato, viene una domanda più semplice: chi poteva chiedere quei dati, con quale atto e attraverso quale canale.

L’articolo 248, comma 2, del codice di procedura penale stabilisce che l’autorità giudiziaria, o gli ufficiali di polizia giudiziaria da questa delegati, possono esaminare presso le banche atti, documenti, corrispondenza, dati e programmi informatici. Lo possono fare per rintracciare cose da sottoporre a sequestro o per accertare altre circostanze utili alle indagini. In caso di rifiuto procede a perquisizione l’autorità giudiziaria.

L’articolo 255 riserva poi all’autorità giudiziaria il sequestro presso banche di documenti, titoli, valori e somme depositate, quando vi sia fondato motivo di ritenerli pertinenti al reato.

Nella pratica la banca riceve un ordine di esibizione del pubblico ministero. La Corte di cassazione lo ha qualificato come atto tipico, fondato sugli articoli 248, comma 2, e 255, e distinto dal sequestro perché privo di effetto ablativo (sentenze n. 35087 del 2003 e n. 3090 del 1995).

Il punto comune è uno solo. La polizia giudiziaria non procede di propria iniziativa: agisce su delega o su decreto di un magistrato.

Perché quella richiesta era irricevibile

Una prefettura è organo periferico del Ministero dell’interno. È un’autorità amministrativa, non giudiziaria. Non ha il potere di chiedere a una banca i rapporti finanziari di un cliente in un procedimento penale, e non è l’ufficio attraverso cui viaggiano gli atti di una procura.

Una richiesta partita da quella casella era quindi irricevibile a prescindere da chi la stesse scrivendo, e a prescindere dal fatto che il dominio superasse i controlli di autenticazione.

Le istanze risultavano firmate dalla Polizia postale, che è polizia giudiziaria. Ma la polizia giudiziaria dispone di proprie caselle certificate, e agisce comunque su delega o su decreto di un magistrato.

Resta da stabilire che valore avesse il documento allegato, di cui si dirà più avanti. Il punto che conta qui è un altro, e non dipende da quella verifica: se anche l’atto fosse stato autentico, non poteva arrivare per quella via.

L’ordine europeo di indagine non arriva in banca

Gli attaccanti hanno invocato l’ordine europeo di indagine, previsto dalla direttiva 2014/41/UE e recepito in Italia con il decreto legislativo 21 giugno 2017, n. 108. La scelta appariva plausibile. Un’autorità italiana che chiede informazioni a una banca lituana attraverso gli strumenti europei non è uno scenario anomalo.

Lo strumento, però, funziona in un modo che esclude quella dinamica.

L’articolo 2 della direttiva definisce autorità di emissione un giudice, un organo giurisdizionale, un magistrato inquirente o un pubblico ministero. Un’autorità diversa può formare l’ordine solo se un magistrato lo convalida prima della trasmissione.

Gli articoli 26 e 27 disciplinano proprio le informazioni sui conti bancari e sulle operazioni finanziarie, comprese quelle effettuate in un dato periodo. Sono le categorie consegnate da Revolut.

Decisivo è però l’articolo 7: l’ordine viaggia dall’autorità di emissione all’autorità di esecuzione. E l’articolo 9 aggiunge che l’autorità di esecuzione, se riceve un ordine non emesso da un’autorità legittimata, lo restituisce allo Stato di emissione.

Ne discende una conseguenza netta. Un ordine europeo di indagine italiano che punti ad acquisire conti presso una banca lituana passa dall’autorità lituana, che vi dà esecuzione secondo il proprio diritto. Revolut Bank UAB avrebbe dovuto ricevere l’atto da un’autorità della Lituania, non un messaggio di posta da una prefettura calabrese.

È questo il controllo che è mancato, e non richiedeva strumenti particolari. Bastava chiedersi chi avesse titolo a emettere quell’atto e perché arrivasse per una via che la direttiva non prevede.

Le indagini

L’inchiesta italiana

La casella utilizzata è entilocali.prefrc@pec.interno.it, riconducibile alla Prefettura di Reggio Calabria. Lo riporta Il Post sulla base delle schermate diffuse dal ricercatore Korra. Quelle schermate non sono state autenticate in modo indipendente.

Il 16 settembre la Procura della Repubblica di Reggio Calabria ha aperto un’inchiesta, dopo una prima informativa della Polizia postale. L’ipotesi di reato è l’articolo 615-ter, comma 3, del codice penale, accesso abusivo a un sistema informatico di pubblico interesse.

Nello stesso lancio l’ANSA aggiunge un elemento che la cronaca trascura: allo stato gli investigatori non hanno la certezza che sia stato compromesso un computer della Prefettura o del Viminale. Resta aperta anche l’alternativa fra casella violata e indirizzo clonato. La compromissione, data per acquisita quasi ovunque, non è ancora un fatto accertato.

Sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo. Secondo l’ANSA, che riferisce la notizia come acquisita per via informale e senza atto pubblico, l’interessamento è legato al coinvolgimento di un ente governativo e alla dimensione transnazionale della vicenda.

Secondo MF-Milano Finanza lavorano al caso anche Banca d’Italia e l’Agenzia per la cybersicurezza nazionale. Polizia postale, polizia di Stato, Ministero dell’interno e ACN hanno rifiutato di commentare al Financial Times.

Il Garante scrive alle banche italiane

È la novità che sposta il caso dal singolo incidente al sistema. Secondo quanto riferisce l’ANSA, il Garante per la protezione dei dati personali ha inviato una comunicazione alla rete dei responsabili della protezione dei dati degli istituti bancari. Chiede una verifica solerte sui propri sistemi e sulle procedure con cui si risponde alle richieste delle autorità, e il contatto immediato con l’Autorità in caso di falle accertate.

L’iniziativa ha due obiettivi dichiarati: accertare se vi siano stati altri tentativi di infiltrazione analoghi e richiamare gli istituti a un controllo interno efficace. Il Garante ha inoltre aperto uno scambio informativo con l’omologa lituana, competente sulla principale entità bancaria europea del gruppo, e si è rivolto al Ministero dell’interno per capire se siano coinvolti altri operatori finanziari.

La domanda che il caso solleva, in altre parole, se la sono già posta le autorità di controllo.

Le autorità di vigilanza

L’Information Commissioner’s Office britannico ha reso noto di avere ricevuto la segnalazione della società e di esaminare l’incidente. La maggior parte delle testate data la dichiarazione al 14 settembre; Il Fatto Quotidiano colloca al 15 settembre l’apertura dell’indagine. Sul versante lituano, dove ha sede l’entità bancaria del gruppo per lo Spazio economico europeo, non risultano pronunciamenti pubblici.

Le iniziative parlamentari

Hanno depositato o annunciato interrogazioni al ministro dell’Interno i senatori Lorenzo Basso e Antonio Nicita, il deputato Matteo Mauri e le deputate Elisabetta Piccolotti e Giulia Pastorella. Pastorella ha posto al Financial Times la domanda che conta: quante altre comunicazioni sono partite da quella casella e quante altre imprese hanno ricevuto richieste analoghe. Il Codacons ha chiesto di accertare quante e quali caselle PEC siano state abusate.

A Linkiesta Mauri osserva che seicentottanta è un numero piccolo per un’operazione durata mesi, e chiede al governo di spiegare quel dato. La stessa testata riferisce che gli attaccanti avrebbero inviato a Revolut centinaia di identificativi pubblici di transazioni in criptovaluta, chiedendo di risalire alle persone che vi stavano dietro. La circostanza poggia su fonte secondaria unica e va presa come tale. Se confermata, descrive qualcosa di più di una richiesta illegittima: una de-anonimizzazione di massa che nessun ordine di esibizione avrebbe coperto.

Come era costruita la richiesta

La ricostruzione che segue poggia interamente su schermate pubblicate dai ricercatori, in particolare dall’account Korra e dal team investigativo di Duel, e su testate che le hanno esaminate. Nessuno di quei documenti è stato autenticato in modo indipendente, né confermato dalle autorità. Va letta come una ricostruzione in corso, non come un accertamento.

Le richieste non sono state indirizzate alla sede italiana di Revolut, ma a Revolut Bank UAB. Il canale materiale dello scambio era però italiano: secondo KELA, che ha esaminato le schermate pubblicate dall’attaccante, la corrispondenza passava per la casella di posta certificata italiana di Revolut, gestita tramite InfoCert, e per l’indirizzo dedicato alle richieste giudiziarie. Le istanze facevano riferimento a un’indagine della procura di Milano. Secondo Korra, l’attaccante ha sperimentato diversi approcci prima di trovare quello efficace; nel proprio racconto sostiene di avere in precedenza tentato con altre aziende, usando ordini giudiziari falsi, senza successo.

Il documento allegato

Fra il materiale diffuso compare un documento intitolato European Investigation Order, con stemma della Repubblica Italiana e data 4 maggio 2026. Risulta intestato alla procura della Repubblica presso il tribunale di Milano, con richiamo al decreto legislativo 108/2017. Indica come Stato di emissione l’Italia e come Stato di esecuzione la Lituania. Fra i destinatari figurano la procura generale lituana, l’autorità lituana competente per le indagini finanziarie e direttamente Revolut Bank UAB a Vilnius. L’oggetto è l’acquisizione di informazioni bancarie e finanziarie relative a un elenco di indirizzi di deposito, oscurato nella schermata.

Che quel documento sia falso è l’ipotesi più probabile, non un fatto accertato. Non risulta che la procura di Milano abbia mai emesso un atto del genere, ma nessuna autorità si è pronunciata e nessuna verifica forense è stata resa pubblica. L’ipotesi di reato finora ipotizzata dalla Procura di Reggio Calabria riguarda l’accesso abusivo a un sistema informatico, non la falsità documentale. Se il falso venisse confermato, entrerebbero in gioco anche la falsità materiale commessa da privato in atto pubblico e la sostituzione di persona.

Resta comunque il rilievo esposto sopra: un atto di quel tipo, autentico o no, non poteva arrivare a una banca lituana per posta certificata da una prefettura italiana.

Le anomalie visibili

Alcune incongruenze erano rilevabili senza strumenti tecnici. Una richiesta relativa a un procedimento milanese partiva da un indirizzo di Reggio Calabria. I numeri di protocollo rimandavano alla procura di Roma.

Gli scambi documentati coprono mesi. Il 24 marzo 2026 Revolut avrebbe chiesto di correggere l’intestazione di una comunicazione, indicando come compilare correttamente la richiesta. All’inizio di maggio si sarebbe scusata per un ritardo, dichiarando di avere avviato una verifica interna. Il 24 luglio avrebbe confermato la trasmissione di tutti i documenti, annunciando una seconda comunicazione con la parola chiave per decifrarli.

Nello stesso messaggio la banca avrebbe delimitato il perimetro della propria collaborazione. Secondo la ricostruzione di Silere non possum, 169 identificativi riguardavano Revolut Ltd, registrata nel Regno Unito, e per quelli la richiesta andava inoltrata attraverso la procedura britannica di assistenza legale reciproca; altri 29 riguardavano un’entità svizzera e un conto presso Revolut Bank UAB. La segmentazione per entità giuridica ha quindi funzionato sul piano formale, mentre la verifica sostanziale della legittimazione non ha funzionato affatto.

In un passaggio successivo, rilevato da KELA nelle schermate pubblicate dall’attaccante, Revolut chiede la distruzione dei documenti già trasmessi, osservando che quei conti ricadevano sotto una giurisdizione diversa. La banca aveva quindi colto un problema di competenza, ma solo dopo la consegna, e continuando a rivolgersi allo stesso interlocutore.

L’inganno è emerso quando Revolut si è rivolta direttamente all’amministrazione italiana, che ha negato di avere inviato quei messaggi. È la verifica su canale indipendente che l’FBI raccomanda da anni. È arrivata dopo mesi, e dopo che le persone colpite erano già sotto ricatto.

Chi rivendica, e che cosa afferma

L’operazione è rivendicata da uno pseudonimo comparso il 12 settembre, senza storia precedente e senza campagne attribuite in passato. Parlare di gruppo è già una concessione alla sua autopresentazione.

Il canale di messaggistica che ha rivendicato per primo è stato rimosso poco dopo essere comparso, poi è tornato attivo insieme a un sito dedicato. Lunedì 14 settembre gli autori hanno pubblicato su quel sito schermate parzialmente oscurate del materiale ottenuto. Il Financial Times li ha poi raggiunti su un canale di messaggistica.

Un secondo soggetto, con un proprio canale e un proprio sito, si è attribuito l’attacco. Il primo lo descrive come un ex collaboratore che ha ottenuto un campione parziale dei dati e invita le persone colpite a non trattare con lui. La domanda di diecimila bitcoin, circolata nei primi giorni, proviene da questo secondo rivendicante ed è smentita dal primo.

L’infrastruttura del sito di estorsione

KELA ha esaminato l’infrastruttura pubblica di quel sito e ne ha ricavato un quadro che stride con la qualità dell’operazione.

La pagina è statica, ospitata su un servizio gratuito di pubblicazione da repository, con dominio e DNS presso un fornitore statunitense. È stata messa insieme il 14 settembre nell’arco di circa sei ore e mezza, interamente dall’interfaccia web del servizio. Il repository è rimasto pubblico, con la cronologia delle modifiche, i messaggi di salvataggio e persino i file cancellati ancora recuperabili.

L’account che ospita il sito è stato aperto il 4 luglio 2026 ed è rimasto inattivo fino al giorno dell’operazione. Nello stesso minuto risulta aperto un secondo account su una piattaforma di commercio elettronico, sotto un nome diverso. I salvataggi sono firmati con un indirizzo di posta elettronica, e uno di essi riporta un fuso orario compatibile con il Nordamerica occidentale. Un sottodominio dedicato ai pagamenti si appoggia a una piattaforma che in genere richiede verifica dell’identità, codice fiscale statunitense e conto bancario negli Stati Uniti.

KELA avverte che non è stabilito se quegli account appartengano davvero all’attaccante, siano stati compromessi o siano semplici pseudonimi. La conclusione che conta per chi legge è un’altra: la parte dell’operazione che ha richiesto pazienza e conoscenza delle procedure è stata eseguita bene, mentre l’apparato di supporto è stato costruito con trascuratezza. Fra le prove pubblicate dall’attaccante figurano diciannove archivi e una cartella di 326 megabyte con 688 file.

L’ultimatum del 16 settembre

Nel pomeriggio del 16 settembre il primo rivendicante ha pubblicato un conto alla rovescia di ventiquattro ore. Chiede a Revolut sei mila monero, circa tre milioni di dollari al cambio di quel giorno, altrimenti annuncia la vendita dei dati ad altri gruppi criminali. La scadenza cade il 17 settembre. Lo riferiscono il Financial Times e, in Italia, ANSA, Adnkronos e Sky TG24. Poco dopo gli autori hanno inviato alla testata britannica un video di sessanta secondi che mostra lo scorrimento di documenti attribuiti a Revolut.

Due dati vanno tenuti distinti. L’ultimatum è pubblico, sul sito dell’attaccante. Una persona informata dei fatti continua però a riferire al Financial Times che Revolut non è stata contattata dagli autori e non ha ricevuto una richiesta di riscatto su un canale diretto. L’unica estorsione documentata da schermate, come si è visto, è quella rivolta alle singole persone.

Che cosa resta senza riscontro

Restano rivendicazioni la durata di sei mesi dell’operazione e la disponibilità di circa 147 gigabyte di documenti sottratti a uffici delle forze dell’ordine italiane. Sulla selezione dei bersagli tramite analisi delle transazioni su catena il quadro è meno netto: è una rivendicazione, ma coincide con l’oggetto del documento mostrato nelle schermate, un elenco di indirizzi di deposito. Come osserva Security Affairs, fra la compromissione di una singola casella e l’esfiltrazione di 147 gigabyte da sistemi istituzionali c’è una differenza di ordine di grandezza. Nessuna autorità ha confermato, e gli investigatori stanno verificando proprio questo punto.

Due elementi invitano alla cautela. Le quantità dichiarate crescono a ogni intervista, a fronte dei 326 megabyte mostrati nelle prime schermate. E lo stesso attore ha fornito due versioni diverse dell’accesso iniziale. A un ricercatore ha parlato di credenziali sottratte da un programma per il furto di credenziali, con successiva aggiunta di un proprio indirizzo di recupero. A un altro ha parlato di un trojan di accesso remoto installato su un sistema in uso a personale delle forze dell’ordine.

Un fenomeno già segnalato

La notifica dell’FBI

Il 4 novembre 2024 l’FBI ha dedicato una Private Industry Notification a un fenomeno vicino: le false richieste di dati presentate come urgenti, in inglese fraudulent emergency data request. La richiesta d’emergenza è una categoria a sé, che serve a ottenere informazioni immediatamente saltando i controlli ulteriori sulla legittimità dell’istanza.

Il documento contiene una precisazione che riguarda da vicino il caso Revolut. Nel mondo delle forze dell’ordine la richiesta d’emergenza è cosa distinta da un ordine di esibizione o da un atto di assistenza giudiziaria; chi attacca, invece, usa le tre etichette in modo intercambiabile. Quello che le accomuna non è l’urgenza, ma il fatto che un’impresa consegni dati sulla fiducia riposta in un’autorità. Il caso italiano appartiene a questa famiglia più ampia, non alla richiesta d’emergenza in senso stretto.

Il mercato descritto è maturo. Nell’agosto 2024 un soggetto vendeva caselle governative di alta qualità, offrendosi di accompagnare l’acquirente nella compilazione della richiesta e di fornire ordini di esibizione realmente sottratti, per potersi presentare come agente. Nel marzo 2024 un altro dichiarava di controllare caselle governative di oltre venticinque paesi. Nello stesso mese un terzo pubblicava le immagini di una richiesta presentata a PayPal sotto forma di atto di assistenza giudiziaria internazionale, completa di numero di procedimento e riferimento normativo: la società l’ha respinta.

Due precedenti mostrano le due leve usate. Nel dicembre 2023 le false richieste erano accompagnate dall’avvertimento che una persona avrebbe subito un danno grave, o sarebbe morta, se i dati non fossero arrivati subito. Nell’ottobre 2023 un altro soggetto osservava che una casella governativa consente di diventare, agli occhi del destinatario, un ufficiale di polizia o un ente pubblico, e che i dati così ottenuti servono poi ad attaccare il settore pubblico stesso.

Le raccomandazioni sono concrete. Applicare pensiero critico alle richieste d’emergenza, perché chi attacca sfrutta l’urgenza per accorciare l’analisi. Esaminare firme e loghi alla ricerca di manipolazioni. Controllare che i riferimenti normativi appartengano davvero all’ordinamento dell’autorità che scrive. E, in caso di dubbio, contattare sia il mittente sia l’autorità di provenienza.

Perché gli intermediari finanziari sono i più esposti

Gli intermediari più esposti sono quelli che detengono identità verificate e storia finanziaria: banche, istituti di pagamento, piattaforme di scambio di cripto-attività. Per adempiere agli obblighi antiriciclaggio un istituto conserva documenti d’identità e immagini del volto raccolte in fase di verifica. Quel fascicolo può uscire per intero con una sola risposta sbagliata.

Il canale italiano gode di una fiducia particolare

Il CERT-AGID ha gestito oltre 650 eventi nei primi sei mesi del 2026 relativi a caselle PEC compromesse o registrate per finalità illecite.

La compromissione sistematica delle caselle certificate italiane è documentata da tempo e ha già toccato la pubblica amministrazione. Spesso parte da credenziali sottratte da programmi per il furto di credenziali, come nelle campagne che abbiamo ricostruito negli scorsi mesi.

Il quadro europeo, e ciò che ne resta fuori

Le garanzie del regolamento e-Evidence

Dal 18 agosto 2026 si applica il regolamento (UE) 2023/1543 sugli ordini europei di produzione e di conservazione di prove elettroniche, di cui abbiamo ricostruito impianto e ambito di applicazione. L’autorità di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale del prestatore di servizi in un altro Stato. La richiesta viaggia su un certificato standardizzato, l’EPOC.

Le garanzie sono graduate secondo la sensibilità dei dati. Per i dati relativi agli abbonati l’ordine può essere emesso anche da un pubblico ministero. Per i dati sul traffico e per i contenuti servono un giudice, un organo giurisdizionale o un magistrato inquirente. Il termine di risposta è di dieci giorni, che scendono a otto ore nei casi di emergenza. Chi non ottempera rischia sanzioni fino al due per cento del fatturato mondiale annuo.

Conta soprattutto la forma. Dove il regolamento richiede una firma o un sigillo, questi devono essere qualificati ai sensi del regolamento eIDAS. Le comunicazioni passano per un sistema informatico decentrato fondato sui punti di accesso e-CODEX, con specifiche tecniche fissate dal regolamento di esecuzione (UE) 2025/1550. L’autenticità dell’ordine non dipende dal dominio del mittente.

L’adeguamento italiano

In Italia l’adeguamento è arrivato con i decreti legislativi 30 dicembre 2025, n. 215 e n. 216, il secondo in attuazione della direttiva (UE) 2023/1544. Entrambi sono in vigore dal 30 gennaio 2026, come abbiamo analizzato nel commento ai due decreti.

I prestatori già attivi nell’Unione dovevano designare lo stabilimento o nominare il rappresentante legale entro il 18 agosto 2026, con sanzioni fino a un milione e mezzo di euro applicate dal Ministero dell’interno.

L’articolo 5 stabilisce che prestatore, stabilimento designato e rappresentante legale rispondono in solido, e che non possono giustificarsi adducendo la mancanza o l’inadeguatezza delle procedure interne. Il legislatore ha già deciso che la procedura interna è responsabilità dell’impresa, non un’attenuante.

L’esclusione dei servizi finanziari

Il regolamento definisce il prestatore di servizi escludendo espressamente i servizi finanziari. L’esclusione è agganciata al tipo di servizio, non alla natura del soggetto, ma i servizi bancari, di pagamento e di investimento vi ricadono per intero. Per un istituto come Revolut il risultato è netto: nessun certificato EPOC, nessun canale autenticato, nessun modulo standardizzato.

L’asimmetria si vede guardando che cosa il modulo EPOC consente di chiedere. Fra i dati relativi agli abbonati figurano gli strumenti di verifica dell’identità usati alla registrazione, le copie dei documenti forniti dal cliente e le informazioni sulla carta di pagamento. Sono, in larga parte, le stesse categorie consegnate da Revolut.

Il legislatore europeo le ha giudicate abbastanza delicate da circondarle di un certificato firmato e di un’infrastruttura autenticata. Quando le detiene una banca, la richiesta continua ad arrivare per posta.

I profili di protezione dei dati

La base giuridica della comunicazione

Accertato che il richiedente non era legittimato e che la via seguita non era quella prevista, resta da stabilire su quale base giuridica il titolare abbia comunicato i dati.

Lo scenario è interno all’Unione: un’autorità italiana, sia pure simulata, che si rivolge a una banca lituana. Non si applica quindi l’articolo 48 del RGPD, che riguarda sentenze e decisioni di paesi terzi.

Resta valido il principio fissato dal Comitato europeo per la protezione dei dati nelle Linee guida 02/2024, adottate in versione definitiva il 4 giugno 2025: la richiesta di un’autorità non è di per sé una base giuridica per il trattamento. Il Comitato aggiunge che, nel dubbio su quale strumento si applichi, il destinatario può interpellare il ministero della Giustizia, il ministero degli Esteri o l’autorità di vigilanza di settore. È una legittimazione formale a fermarsi e verificare.

La norma che manca per le banche

L’articolo 132-bis del Codice privacy impone ai fornitori di comunicazione elettronica di istituire procedure interne per rispondere alle richieste di accesso ai dati degli utenti, e di riferire al Garante quante ne ricevono, su quali basi legali e con quali esiti. Alle banche non si applica.

La domanda che il caso solleva è se debba restare così. L’iniziativa del Garante verso i responsabili della protezione dei dati degli istituti bancari va in quella direzione, ma per via di moral suasion: chiede una verifica, non istituisce un obbligo di registro e di rendicontazione.

Violazione, notifica, responsabilità

Consegnare dati personali a un soggetto non legittimato è una violazione di riservatezza anche senza intrusione. Scattano la notifica all’autorità di controllo entro settantadue ore e, quando il rischio è elevato, la comunicazione agli interessati.

Copia del passaporto e immagine del volto collocano l’episodio nella fascia alta. Le estorsioni già in corso al momento della notifica confermano che il rischio si è materializzato.

Quanto alla responsabilità del titolare in caso di violazione, occorre dimostrare di avere adottato misure adeguate al rischio. L’articolo 82 lo esonera dal risarcimento solo se prova che l’evento non gli è in alcun modo imputabile. È una soglia alta, e l’assenza di un controllo sull’atto giudiziario non aiuta a superarla.

Quale autorità è competente

L’autorità che si è mossa per prima è l’ICO britannico, competente sull’entità del Regno Unito. Le richieste erano però indirizzate a Revolut Bank UAB, autorizzata in Lituania e vigilata dalla banca centrale nazionale e dalla BCE.

Per quel trattamento l’autorità capofila è l’ispettorato lituano per la protezione dei dati, che nel 2022 aveva già istruito un caso di ingegneria sociale riguardante Revolut. Era un episodio diverso: la ricorrenza riguarda il vettore umano, non la stessa vulnerabilità. Lo scambio informativo aperto dal Garante italiano con l’omologa lituana serve proprio a ricomporre questa frammentazione.

Una procedura di verifica riutilizzabile

Quanto segue è una traccia operativa, costruita sul codice di procedura penale, sulla direttiva 2014/41/UE, sulle raccomandazioni dell’FBI e sulle linee guida del Comitato europeo. Va adattata al proprio ordinamento e al proprio modello di servizio.

Prima di entrare nel merito

Verificare l’atto, non il messaggio. Accertare che esista il provvedimento dell’autorità giudiziaria, che l’ufficio richiedente sia legittimato a chiedere quei dati e che il documento allegato provenga davvero da chi lo firma. È il controllo che precede ogni altro. Un documento che riporta stemma, intestazione e riferimenti normativi corretti non è per questo un atto autentico.

Qualificare lo strumento e la via. Stabilire con quale atto arriva la richiesta, da quale ordinamento e attraverso quale canale. Un ordine europeo di indagine che arriva direttamente da un’autorità straniera, invece che dall’autorità di esecuzione nazionale, è fuori procedura per definizione.

Respingere le anomalie di competenza. Un ufficio amministrativo che chiede rapporti finanziari in un procedimento penale è un’anomalia, quale che sia il canale. Lo è anche un ufficio territoriale che scrive per conto di una procura di un altro distretto.

Tenere un registro unico delle richieste. Data e ora di ricezione, mittente dichiarato, canale, atto allegato, categorie di dati e periodo richiesti, esito e motivazione scritta della decisione. Senza registro non esiste responsabilizzazione dimostrabile.

Durante l’istruttoria

Verificare su canale indipendente. Ricontattare l’autorità a un recapito pubblicato sul sito ufficiale, mai a quello indicato nella richiesta. La verifica deve accertare l’esistenza del procedimento e la legittimazione di chi firma. Vale anche per la posta certificata, che attesta origine e trasmissione del messaggio, non che chi controlla la casella sia il soggetto legittimato.

Non assistere il richiedente. Una richiesta irregolare nella forma va respinta o rimandata al mittente, non corretta insieme a lui. Spiegare come renderla conforme significa fornire a un possibile attaccante la sola cosa che gli manca.

Non leggere la riservatezza come un allarme. La direttiva 2014/41/UE impone agli Stati membri di assicurare che gli istituti bancari non informino i clienti della trasmissione dei dati né dell’indagine in corso. Chiedere di non avvisare il cliente è quindi normale in un ordine legittimo, e non deve scoraggiare la verifica.

Analizzare le serie, non i singoli casi. Una successione di richieste dallo stesso mittente, su clienti selezionati secondo un criterio omogeneo, è un segnale che nessuna valutazione caso per caso può cogliere. Il registro serve anche a questo.

Al momento di rispondere

Minimizzare la risposta. Consegnare solo le categorie indicate e solo il periodo specificato. Una richiesta generica va rimandata al mittente per precisazione, non interpretata estensivamente.

Richiedere doppia approvazione sui dati ad alto impatto. Documenti d’identità, immagini del volto e cronologie complete di transazioni richiedono l’assenso congiunto di funzione legale e responsabile della protezione dei dati, con un secondo approvatore estraneo all’istruttoria.

Presidiare l’urgenza. L’urgenza dichiarata comprime i termini, non il livello di verifica. Le false richieste documentate dall’FBI arrivano accompagnate dall’avvertimento che qualcuno subirà un danno grave se i dati non partono subito. Serve un percorso rapido con reperibilità definita, invece di lasciare il singolo operatore a decidere sotto pressione.

Formare e rendicontare. Il personale esposto è quello legale, di conformità e antifrode che evade materialmente le richieste. Un quadro periodico di quante ne arrivano e di come sono state trattate è la misura di controllo più semplice da mettere in piedi.

Il rischio speculare non è più teorico

C’è un secondo scenario, che in questo caso ha smesso di essere un’ipotesi. La richiesta è autentica, l’autorità è legittimata, il procedimento esiste. Ma la casella da cui parte, o quella verso cui la risposta viene indirizzata, è sotto il controllo di un terzo.

La differenza è sostanziale. Se il mittente è falsificato, i controlli tecnici possono intercettarlo. Se la casella è autentica e il suo titolare non lo è, quei controlli confermano ciò che l’attaccante vuole far credere. È lo scarto fra autenticazione, identità e autorizzazione: un messaggio può essere tecnicamente autentico e sostanzialmente fraudolento.

Il canale europeo restringe il problema senza risolverlo. Il regolamento di esecuzione impone autenticazione reciproca tramite certificati digitali, non ripudio dell’origine e della ricezione, impronte crittografiche sui file trasmessi e cifratura del contenuto. Nessuna di queste misure ferma chi ha rubato un’identità legittima, ma tutte lasciano tracce verificabili.

Fuori da quel perimetro, dove le banche si collocano, la contromisura resta organizzativa. Consegnare solo a recapiti istituzionali verificati in modo indipendente. Cifrare il trasferimento. Limitare la validità dei collegamenti di scarico. Comunicare l’impronta crittografica di quanto consegnato. Notificare l’avvenuta consegna su un canale diverso da quello della richiesta.

Vale anche il rovescio. Un’amministrazione la cui casella viene abusata subisce un incidente proprio, con obblighi di sicurezza e di notifica autonomi. Qui l’amministrazione coinvolta è tanto lo strumento dell’attacco quanto, con ogni probabilità, una vittima.

Che cosa resta da decidere

Le domande aperte sono due, e non riguardano la stessa organizzazione.

La prima è per gli intermediari finanziari. Chi, in azienda, è autorizzato a rilasciare un fascicolo identificativo completo, sulla base di quale atto e con quale prova scritta di averlo verificato. Non è una questione di tecnologia, ma di chi legge il provvedimento prima di premere invio. La verifica chiesta dal Garante mette le banche italiane davanti a questa domanda.

La seconda è per le amministrazioni pubbliche, e in Italia pesa più della prima. Se una casella istituzionale può essere usata per mesi da un soggetto non autorizzato senza che nessuno se ne accorga, il problema non è solo la banca che ha risposto. È il valore di prova che attribuiamo a un canale considerato affidabile per definizione.