Richieste dell’autorità contraffatte: il caso Revolut e la verifica delle istanze

Un soggetto non autorizzato ha scritto dal dominio autentico di un’agenzia governativa e si è fatto consegnare documenti d’identità, immagini di verifica facciale e cronologie complete di transazioni. Nessun sistema è stato violato: è stato aggirato il processo con cui un istituto valuta la legittimità di una richiesta dell’autorità. Dal 18 agosto 2026 il regolamento e-Evidence ha standardizzato quel processo per i prestatori di servizi digitali. Le banche, però, restano fuori dal suo perimetro.

La dinamica: dominio autentico, controllo aggirato, dati consegnati

Il 12 settembre 2026 Revolut ha confermato a TechCrunch di avere comunicato dati di clienti a un soggetto non autorizzato. Le richieste arrivavano da un indirizzo di posta attivo sul dominio legittimo di un’agenzia governativa e superavano i controlli tecnici di autenticazione.

La società ha parlato di una sofisticata truffa di impersonificazione esterna. Ha dichiarato di avere bloccato l’indirizzo non appena rilevata la frode e di avere allertato l’agenzia interessata, le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari. Ha aggiunto che i propri sistemi e i fondi dei clienti non risultano compromessi. Sono dichiarazioni dell’azienda, non accertamenti di terzi.

Le categorie di dati emergono dalla notifica inviata ai clienti. TechCrunch, che ne ha visionato il testo, elenca nome, data di nascita, indirizzo postale, indirizzo di posta elettronica, numero di telefono e copia del documento d’identità. La notifica indica come possibilmente coinvolti anche il selfie di verifica, gli estratti conto e la cronologia delle transazioni. The Register aggiunge professione, IBAN e cronologia completa delle operazioni, comprese quelle in bitcoin.

Revolut non ha detto quanti clienti siano coinvolti, limitandosi a definirli un gruppo molto limitato, e non ha identificato né l’agenzia né i mercati toccati. Le cifre che circolano su alcuni siti di aggregazione non hanno fonte.

Su tre punti serve cautela, perché ciascuno si regge su una fonte sola.

Il primo riguarda il profilo delle vittime. Il ricercatore indipendente ZachXBT, che ha reso pubblica la notifica con un messaggio su Telegram fra la sera dell’11 e il 12 settembre, scrive che l’incidente sembra mirato a clienti ad alto patrimonio. È la valutazione di un singolo ricercatore.

Il secondo riguarda l’estorsione. The Register riferisce che alcuni soggetti si sono attribuiti l’attacco su più gruppi Telegram e chiedono un riscatto di diecimila bitcoin. La testata scrive di avere visto frammenti di dati riferibili a dirigenti, sportivi e artisti. Revolut non ha commentato.

Il terzo riguarda la scoperta. Le notifiche ai clienti risultano inviate l’11 settembre, la conferma aziendale è del 12. Revolut non ha spiegato come abbia rilevato la frode, né quanto tempo sia passato fra la prima risposta e il blocco dell’indirizzo.

Un fenomeno già segnalato

La tecnica ha un nome nella letteratura investigativa di lingua inglese: fraudulent emergency data request, cioè la falsa richiesta di dati presentata come urgente. Il 4 novembre 2024 l’FBI le ha dedicato una Private Industry Notification.

Il documento descrive un mercato maturo. Nell’agosto 2024 un soggetto vendeva caselle governative offrendosi di accompagnare l’acquirente nella compilazione della richiesta e di fornire atti giudiziari realmente sottratti. Nel marzo 2024 un altro dichiarava di controllarne in oltre venticinque paesi. Nello stesso mese un terzo pubblicava le immagini di una richiesta presentata a PayPal sotto forma di atto di assistenza giudiziaria internazionale, completa di numero di procedimento: la società l’ha respinta.

Le raccomandazioni dell’FBI sono concrete. Applicare pensiero critico alle richieste d’emergenza, perché chi attacca sfrutta l’urgenza per accorciare l’analisi. Esaminare firme e loghi alla ricerca di manipolazioni. Controllare che i riferimenti normativi appartengano davvero all’ordinamento dell’autorità che scrive. E, in caso di dubbio, contattare sia il mittente sia l’autorità di provenienza.

Gli intermediari più esposti sono quelli che detengono identità verificate e storia finanziaria: banche, istituti di pagamento, piattaforme di scambio di cripto-attività. Per adempiere agli obblighi antiriciclaggio un istituto conserva documenti d’identità e le immagini del volto raccolte in fase di verifica. Quel fascicolo può uscire per intero con una sola risposta sbagliata.

Il quadro europeo, e ciò che ne resta fuori

Dal 18 agosto 2026 si applica il regolamento (UE) 2023/1543 sugli ordini europei di produzione e di conservazione di prove elettroniche. L’autorità di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale del prestatore di servizi in un altro Stato, senza passare per la cooperazione giudiziaria. La richiesta viaggia su un certificato standardizzato, l’EPOC.

Le garanzie sono graduate secondo la sensibilità dei dati. Per i dati relativi agli abbonati l’ordine può essere emesso anche da un pubblico ministero. Per i dati sul traffico e per i contenuti servono un giudice, un organo giurisdizionale o un magistrato inquirente, e su queste categorie interviene anche l’autorità di esecuzione dello Stato in cui si trova il destinatario. Il termine di risposta è di dieci giorni, che scendono a otto ore nei casi di emergenza. Chi non ottempera rischia sanzioni fino al due per cento del fatturato mondiale annuo.

Conta soprattutto la forma. Quando il regolamento richiede una firma o un sigillo, questi devono essere qualificati ai sensi del regolamento eIDAS. Le comunicazioni passano di norma per un sistema informatico decentrato fondato sui punti di accesso e-CODEX, le cui specifiche tecniche sono fissate dal regolamento di esecuzione (UE) 2025/1550. L’obbligo di usarlo è pienamente operativo dal luglio 2026. L’autenticità dell’ordine, in altre parole, non dipende dal dominio del mittente.

In Italia l’adeguamento è arrivato con il decreto legislativo 30 dicembre 2025, n. 215 e con il decreto legislativo n. 216 della stessa data, che attua la direttiva (UE) 2023/1544. Entrambi sono in vigore dal 30 gennaio 2026. I prestatori già attivi nell’Unione dovevano designare lo stabilimento o nominare il rappresentante legale entro il 18 agosto 2026, con sanzioni fino a un milione e mezzo di euro applicate dal Ministero dell’interno. La testata ne ha già analizzato l’impatto in un approfondimento dedicato.

Un passaggio di quel decreto merita attenzione. L’articolo 5 stabilisce che prestatore, stabilimento designato e rappresentante legale rispondono in solido, e che non possono giustificarsi adducendo la mancanza o l’inadeguatezza delle procedure interne. La regola traspone la direttiva europea. Il legislatore ha già stabilito che la procedura interna è responsabilità dell’impresa, non un’attenuante.

Qui si apre il punto che il dibattito ha finora trascurato. Il regolamento definisce il prestatore di servizi escludendo espressamente i servizi finanziari. L’esclusione è agganciata al tipo di servizio, non alla natura del soggetto, ma i servizi bancari, di pagamento e di investimento vi ricadono per intero. Per un istituto come Revolut il risultato è netto: nessun certificato EPOC, nessun canale autenticato, nessun modulo standardizzato.

L’asimmetria si vede meglio guardando che cosa il modulo EPOC consente di chiedere. Fra i dati relativi agli abbonati figurano gli strumenti di verifica dell’identità usati alla registrazione, le copie dei documenti forniti dal cliente e le informazioni sulla carta di pagamento. Sono, in larga parte, le stesse categorie consegnate da Revolut. Il legislatore europeo le ha giudicate abbastanza delicate da circondarle di un certificato firmato e di un’infrastruttura autenticata. Quando le detiene una banca, invece, la richiesta continua ad arrivare per posta elettronica.

I profili di protezione dei dati

La prima domanda non è se la richiesta fosse credibile, ma su quale base giuridica il titolare abbia comunicato i dati.

Il Comitato europeo per la protezione dei dati lo ha chiarito nelle Linee guida 02/2024, adottate in versione definitiva il 4 giugno 2025. La richiesta di un’autorità straniera non è di per sé né una base giuridica per il trattamento né un presupposto per il trasferimento. Servono entrambe le cose, e vanno cercate separatamente: la prima nell’articolo 6 del RGPD, la seconda nel capo V. L’articolo 48 non fornisce né l’una né l’altra: dice soltanto che sentenze e decisioni di paesi terzi non valgono nell’Unione senza un accordo internazionale.

Il Comitato aggiunge due indicazioni pratiche. Se l’accordo internazionale disciplina la cooperazione fra autorità pubbliche, come fa un trattato di mutua assistenza, l’impresa europea deve rinviare il richiedente all’autorità nazionale competente invece di rispondere. E se non è chiaro quale accordo si applichi, il destinatario può interpellare il ministero della Giustizia, il ministero degli Esteri o l’autorità di vigilanza di settore. È una legittimazione formale a fermarsi e verificare.

Il regime cambia dunque secondo la provenienza della richiesta. Da un paese terzo si entra nel perimetro dell’articolo 48. Da uno Stato membro si applicano le regole processuali penali nazionali. Poiché l’agenzia non è stata identificata, nel caso Revolut non è possibile stabilire quale dei due regimi fosse in gioco.

Nel diritto italiano la gradazione è netta. L’articolo 132 del Codice privacy subordina l’acquisizione dei dati di traffico all’autorizzazione del giudice, in presenza di indizi di reati puniti con almeno tre anni di reclusione nel massimo. Ai dati relativi agli abbonati, invece, provvede il pubblico ministero o la polizia giudiziaria. Un’anagrafica cliente e una cronologia di transazioni non appartengono alla stessa categoria, e una procedura che le tratti allo stesso modo è sbagliata in partenza.

C’è poi una norma che contiene il principio assente nel caso Revolut. L’articolo 132-bis del Codice impone ai fornitori di comunicazione elettronica di istituire procedure interne per rispondere alle richieste di accesso ai dati degli utenti, e di riferire al Garante quante ne ricevono, su quali basi legali e con quali esiti. Alle banche non si applica. La domanda che il caso solleva è se debba restare così.

Sul piano della violazione, consegnare dati personali a un soggetto non legittimato è una violazione di riservatezza anche senza intrusione. Scattano la notifica all’autorità di controllo entro settantadue ore e, quando il rischio è elevato, la comunicazione agli interessati. Copia del passaporto e immagine del volto collocano l’episodio nella fascia alta. Quanto alla responsabilità, il titolare deve dimostrare di avere adottato misure adeguate al rischio, e l’articolo 82 lo esonera dal risarcimento solo se prova che l’evento non gli è in alcun modo imputabile. È una soglia alta.

Un elemento di contesto, da maneggiare con prudenza perché non si sa quale entità del gruppo abbia ricevuto le richieste. Revolut Bank UAB, la banca del gruppo per lo Spazio economico europeo, è autorizzata in Lituania e vigilata dalla banca centrale nazionale e dalla BCE, come indicano le informazioni precontrattuali della società. Nel 2022 l’autorità lituana per la protezione dei dati aveva già avviato un’istruttoria su una violazione riconducibile a ingegneria sociale. Era un episodio diverso: la ricorrenza riguarda il vettore umano, non la stessa vulnerabilità.

Una procedura di verifica riutilizzabile

Quanto segue è una traccia operativa, costruita sulle raccomandazioni dell’FBI, sulle linee guida del Comitato europeo e sull’impianto del regolamento e-Evidence. Va adattata al proprio ordinamento e al proprio modello di servizio.

• Registro unico delle richieste. Data e ora di ricezione, mittente dichiarato, canale, categorie di dati e periodo richiesti, esito e motivazione scritta della decisione. Senza registro non esiste responsabilizzazione dimostrabile.
• Qualificazione preliminare. Stabilire da quale ordinamento arriva la richiesta e con quale strumento, prima di entrare nel merito. Se non è chiaro quale accordo internazionale si applichi, interpellare le autorità nazionali competenti invece di decidere da soli.
• Verifica su canale indipendente. Ricontattare l’autorità a un recapito pubblicato sul sito ufficiale, mai a quello indicato nella richiesta. La verifica deve accertare l’esistenza del procedimento e la legittimazione di chi firma, non la sola autenticità del dominio.
• Controllo formale dell’atto. Riferimenti normativi coerenti con l’ordinamento di provenienza, numero di procedimento, congruenza fra reato indicato e dati richiesti. Dove c’è una firma o un sigillo elettronico, verificarne la validità con strumenti propri.
• La riservatezza non è un allarme. Nel modello europeo è l’autorità, non il destinatario, a informare la persona interessata. Chiedere di non avvisare il cliente è quindi normale in un ordine legittimo, e non deve né insospettire né scoraggiare la verifica.
• Minimizzazione della risposta. Consegnare solo le categorie indicate e solo il periodo specificato. Una richiesta generica va rimandata al mittente per precisazione, non interpretata estensivamente.
• Doppia approvazione sui dati ad alto impatto. Documenti d’identità, immagini del volto e cronologie complete di transazioni richiedono l’assenso congiunto di funzione legale e responsabile della protezione dei dati, con un secondo approvatore estraneo all’istruttoria.
• Urgenza presidiata. L’urgenza dichiarata comprime i termini, non il livello di verifica. Serve un percorso rapido con reperibilità definita, invece di lasciare il singolo operatore a decidere sotto pressione.
• Formazione e rendicontazione. Il personale esposto è quello legale, di conformità e antifrode che evade materialmente le richieste. Un quadro periodico di quante ne arrivano e di come sono state trattate è la misura di controllo più semplice da mettere in piedi.

Il rischio speculare: una richiesta legittima su un canale compromesso

C’è un secondo scenario, meno discusso e altrettanto serio. La richiesta è autentica, l’autorità è legittimata, il procedimento esiste. Ma la casella da cui parte, o quella verso cui la risposta viene indirizzata, è sotto il controllo di un terzo.

È la situazione descritta dall’FBI, dove il vettore iniziale è proprio la compromissione di caselle governative. Chi risponde correttamente a una richiesta formalmente valida consegna comunque i dati all’attaccante. Verificare l’atto non basta: va verificato anche il recapito di consegna.

Il canale europeo affronta il problema alla radice. Il regolamento di esecuzione impone autenticazione reciproca tramite certificati digitali, non ripudio dell’origine e della ricezione, impronte crittografiche sui file trasmessi e cifratura del contenuto con un certificato fornito dall’autorità richiedente. Dall’altra parte c’è un messaggio di posta la cui unica garanzia è che il dominio del mittente supera i controlli tecnici, cioè esattamente ciò che è accaduto a Revolut.

Fuori da quel perimetro, dove le banche si collocano, la contromisura resta organizzativa. Consegnare solo a recapiti istituzionali verificati in modo indipendente, cifrare il trasferimento, limitare la validità dei collegamenti di scarico, comunicare l’impronta crittografica di quanto consegnato, notificare l’avvenuta consegna su un canale diverso da quello della richiesta.

Vale anche il rovescio. Un’agenzia la cui casella viene abusata subisce un incidente proprio, con obblighi di sicurezza e di notifica autonomi. Nel caso Revolut l’agenzia non identificata è tanto lo strumento dell’attacco quanto, con ogni probabilità, una vittima.

Che cosa resta da decidere

Il caso non si chiude con il numero dei clienti coinvolti, che forse non conosceremo mai. Si chiude con una domanda che ogni titolare del trattamento dovrebbe saper documentare: chi, in azienda, è autorizzato a rilasciare un fascicolo identificativo completo a un’autorità, sulla base di quale verifica e con quale prova scritta di averla fatta.

Il regolamento e-Evidence ha risposto a quella domanda per una parte del mercato. Per il resto, la risposta è ancora interamente nelle mani delle singole organizzazioni.