Il problema di sicurezza diffuso in questi giorni per Revolut non è il solito, banale data breach e fa riflettere sulle attese della digital transformation, ovvero il fatto che un canale certificato come la PEC, proprio in quanto certificato, sarebbe stato sufficiente per rendere affidabile anche la comunicazione che stava trasportando.
Secondo quanto ricostruito dal Financial Times e confermato in linea di massima da Revolut, gli hacker sarebbero riusciti ad accedere ai dati di centinaia di clienti presentando richieste che sembravano provenire da un dominio appartenente a un’autorità pubblica italiana. Revolut ha detto che i suoi sistemi non sono stati compromessi e che la questione aveva riguardato ordini fraudolenti presumibilmente emanati da un indirizzo governativo legittimo. Nei giorni seguenti, è stato reso noto, che sarebbero stati coinvolti circa 680 clienti e che, fra i dati comunicati, figurano quelli identificativi e finanziari.
Indice degli argomenti
Il caso Revolut e i limiti della sicurezza PEC
Resistendo alla tentazione di trarre conclusioni sulla sicurezza intrinseca della PEC e sul reale punto di ingresso che gli attacker hanno utilizzato, il caso evidenzia però una questione più profonda: quando molte decisioni si basano sull’identità del mittente, può essere più vantaggioso compromettere l’identità, anziché attaccare direttamente il sistema che contiene i dati.
Per anni, il phishing ha funzionato principalmente basandosi sull’imitazione: un logo quasi identico a quello della banca, un dominio quasi uguale a quello reale, una comunicazione contraffatta proveniente dall’Agenzia delle Entrate o da un corriere. Di conseguenza, la difesa si è incentrata sulla capacità di distinguere il vero dal falso: verificare l’indirizzo e il dominio, evitare di cliccare su link sospetti e saper individuare anomalie linguistiche o grafiche.
Tuttavia, la logica cambia quando l’attaccante riesce a utilizzare un account legittimo, un dominio autentico o un canale normalmente associato a comunicazioni ufficiali. Non è più necessario emulare un’autorità: basta assumere, anche solo temporaneamente, una delle sue identità digitali. In questo scenario, la sicurezza viene aggirata facendo leva proprio su quei segnali di cui l’organizzazione ha imparato a fidarsi.
Il CERT-AGID aveva già segnalato l’aumento di questa tipologia di incidenti. Nel giugno 2026 ha riferito di aver gestito, dall’inizio dell’anno, oltre 650 incidenti riguardanti caselle PEC utilizzate in modo illecito o registrate per scopi illegali, osservando come gli attori malevoli prendessero sempre più di mira un canale “tradizionalmente considerato affidabile e sicuro”.
Sicurezza della PEC tra autenticazione e autorizzazione
Il punto, quindi, non è affermare che “la PEC non è sicura”. Sarebbe un’affermazione inesatta. La PEC certifica aspetti importanti della trasmissione e conferisce valore legale alle prove di invio e ricezione. Tuttavia, nessuna infrastruttura di recapito può garantire, da sola, che ogni richiesta proveniente da una casella autentica sia legittima nel merito e che venga effettuata da un soggetto ancora autorizzato a utilizzare quelle credenziali. C’è una distinzione decisiva quando si entra nel campo della cybersecurity: autenticare un’identità è ben diverso da autorizzare tutte le sue azioni.
Sapere che una richiesta proviene da un account risponde alla domanda “chi sei?”. Ma stabilire se quell’account ha il diritto di accedere a quei dati, in quel momento e per quello scopo, risponde alla domanda “hai il diritto di farlo?”.
Tuttavia, durante le procedure standard, questi due controlli sembrano convergere: più è alta la reputazione del mittente, tanto più è probabile che l’autenticazione venga implicitamente considerata autorizzazione. Ed è questo automatismo che un attaccante può aggirare.
Zero Trust e richieste di dati tramite canali certificati
La morale dell’affaire Revolut, a prescindere dagli esiti della perizia tecnica, è dunque generalizzabile: i procedimenti che implicano la trasmissione di dati sensibili, non si possono fondare su un unico fattore di affidabilità. Un indirizzo reale, un dominio istituzionale, una firma o un certificato sono tutti elementi importanti, ma nessuno di questi può, da solo, essere l’elemento probatorio definitivo che l’azione richiesta sia legittima.
Per le richieste ad alto impatto occorrono quindi ulteriori verifiche: controllo dell’autorità richiedente, verifica della competenza, conferma per via alternativa se sono individuate anomalie, separazione dei compiti e procedure che evitino di far diventare una singola identità compromessa fonte di accesso automatico a una grossa mole di informazioni. È la stessa logica dello Zero Trust applicata ai processi decisionali.
Le scorciatoie procedurali dell’ingegneria sociale
Ancora oggi, molti incidenti informatici sono narrati cominciando dalla domanda su quale software sia stato violato eppure, anche le campagne più sofisticate possono mirare al processo. Un’organizzazione può avere sistemi di cifratura, autenticazione a più fattori e controlli di rete avanzati e risultare comunque vulnerabile se esiste un processo nel quale una richiesta apparentemente autorevole produce una conseguenza sensibile con controlli insufficienti.
Non è detto che l’attaccante in questione stia cercando la classica vulnerabilità tecnica anzi spesso cerca una scorciatoia procedurale, studia chi ha diritto a chiedere cosa, chi ha diritto a fare cosa, quali sono le formule ritenute “normali” e a quale livello di verifica si arriva prima di ottenere ciò che cerca. È ingegneria sociale in forma più raffinata: non sfrutta soltanto la buona fede del singolo dipendente della società, ma anche la struttura amministrativa e le modalità con cui l’organizzazione assegna fiducia.
La PEC in Italia come infrastruttura di fiducia digitale
È dunque una questione di design del processo, non solo di cybersecurity. La cosa è particolarmente rilevante in Italia, dove nel tempo la PEC è diventata un elemento strutturale del rapporto tra cittadini, imprese, professionisti e pubbliche amministrazioni. Non è “solo” un servizio di posta elettronica: si è inserita nei meccanismi ordinari di procedure, notifiche, comunicazioni formali e domicili digitali.
La sua diffusione conferisce un valore simbolico alla PEC che va oltre la dimensione tecnologica. La comunicazione certificata è spesso percepita come una comunicazione “reale”, ma la certezza della trasmissione non si traduce in una certificazione della legittimità sostanziale delle attività di cui si occupa il titolare della casella.
Il capitale di fiducia sfruttato dagli attaccanti
Il CERT-AGID monitora da tempo campagne che sfruttano questo capitale di fiducia. Nella settimana dal 5 all’11 settembre 2026 ha esaminato 170 campagne dannose, tra cui 136 rivolte specificamente contro cittadini italiani, individuando complessivamente 1.391 indicatori di compromissione. Non tutte sono relative alla PEC e non tutte possono essere collegate al caso Revolut, ma il dato restituisce il contesto in cui si muovono oggi cittadini, imprese e PA: un contesto all’insegna dell’abbondanza di phishing, impersonificazione e frodi di identità digitali.
In questo tipo di evoluzione, forse la categoria più rilevante è quella della compromissione di canali affidabili. Nelle truffe tradizionali, l’attaccante crea una falsa fiducia; negli attacchi più sofisticati, cerca invece di appropriarsi di un rapporto di fiducia già esistente.
Difendere la sicurezza PEC oltre il controllo del mittente
Questa differenza richiede un adeguamento anche degli strumenti di difesa. La formazione degli utenti rimane fondamentale, ma la semplice raccomandazione di “controllare il mittente” non è più sufficiente se quest’ultimo appare autentico. Non basta più “verificare il dominio” se quello utilizzato appartiene effettivamente a un’organizzazione affidabile. Non è più sufficiente insegnare a individuare errori grammaticali, dato che le comunicazioni malevole possono risultare linguisticamente impeccabili.
Indicatori contestuali e collaborazione tra funzioni
È necessario integrare indicatori contestuali: quell’autorità ha mai richiesto dati tramite questo canale? L’importo richiesto è coerente con la procedura? Il numero di richieste provenienti dalla stessa entità è insolito? Le parti coinvolte condividono caratteristiche comuni? La richiesta viene avanzata in modo anomalo? È possibile verificarla tramite un contatto di fiducia o un secondo fattore di autenticazione aziendale?
È qui che i settori della sicurezza informatica, dell’antifrode, della privacy e della compliance devono iniziare a condividere maggiormente dati e segnali. Un SOC potrebbe rilevare un accesso anomalo alla rete senza però vedere una richiesta formalmente corretta inviata a un ufficio legale; un ufficio privacy potrebbe verificare la base giuridica senza avere accesso alle informazioni di intelligence sugli account compromessi. L’attaccante agisce proprio negli spazi vuoti tra queste diverse funzioni.
Il caso Revolut, i dati finanziari e i rischi delle criptovalute
Nel caso Revolut, c’è un elemento in più. Secondo ricostruzioni giornalistiche, tra gli account coinvolti si troverebbero anche clienti con ingenti disponibilità in criptovalute. Se ciò venisse confermato, mostrerebbe come il valore dei dati non sia solo quello economico in senso strettamente tradizionale.
Dati quali indirizzo di residenza, documenti d’identità, fotografie, disponibilità finanziarie e cronologia delle transazioni possono aiutare a costruire un profilo abbastanza dettagliato della vittima. Nel settore delle criptovalute, la combinazione di una potenziale ricchezza e dell’elevata liquidità degli asset comporta rischi aggiuntivi, come quelli di estorsione, impersonificazione o attacchi alla persona.
Per questo anche la protezione del dato va valutata in relazione alle conseguenze che la sua esposizione può avere al di fuori del sistema informatico. Non tutte le registrazioni hanno lo stesso valore e non tutte le richieste dovrebbero ricevere lo stesso livello di verifica.
eIDAS 2.0 e il futuro dei servizi certificati in Europa
Il problema si pone proprio quando l’Europa sta rafforzando la struttura dei servizi fiduciari digitali. La regolamentazione eIDAS 2.0 e la transizione verso servizi di recapito elettronico certificato qualificato vogliono rafforzare le caratteristiche di interoperabilità, identificazione e affidabilità tra gli attori delle comunicazioni digitali nel mercato europeo. AgID ha rilasciato la versione aggiornata dei documenti tecnici nazionali relativi agli standard ETSI per accompagnare questo percorso di transizione.
Una crescente qualità tecnica dei servizi rende anzi ancora più importante separare due livelli: fiducia nell’infrastruttura e fiducia nell’azione.
Possiamo mettere insieme un sistema che abbia una buona probabilità di dimostrare da quale identità è stato inviato un messaggio e quando è stato consegnato ma, resta comunque necessario verificare che tale identità non sia stata compromessa e che l’azione richiesta rientri effettivamente nei poteri e nelle intenzioni del soggetto titolare.
Dall’identità digitale alla protezione delle decisioni
Più rendiamo affidabili le identità digitali, più quelle stesse identità diventano obiettivi di valore.
Il modello classico lavora su un messaggio protetto: autenticità, integrità, riservatezza, tracciabilità; il modello dei prossimi anni dovrà proteggere anche la decisione che quel messaggio produce.
Una catena di verifica commisurata al rischio
Una richiesta di dati non deve essere considerata sicura solo perché ha superato i controlli tecnici sul mittente. Dovrebbe essere valutata tramite una catena di verifica commisurata alla rilevanza dell’operazione. In casi di grande impatto questo vuol dire autenticazione forte dell’ente richiedente, verifica dell’autorizzazione specifica, verifica contestuale, segregazione delle funzioni, registrazione completa delle decisioni e capacità di identificare nel tempo comportamenti anomali.
Non vuol dire bloccare ogni comunicazione con la PA, ma applicare ai rapporti istituzionali digitali un principio già acquisito nella sicurezza delle reti: la fiducia non può essere permanente né assoluta.
Se le ricostruzioni sul caso Revolut si riveleranno corrette, la lezione più importante non sarà che un particolare sistema di posta è vulnerabile. Sarà che un’identità digitale affidabile può diventare, se compromessa o abusata, uno strumento di attacco straordinariamente efficace proprio perché tutti abbiamo imparato a fidarcene. La sfida per la protezione della prossima generazione non riguarda dunque soltanto account, reti e dispositivi, ma anche i modi in cui le organizzazioni e le persone decidono a chi credere.
Perché quando gli attaccanti ottengono la fiducia, non devono più convincerci che una comunicazione fasulla è vera; possono farci reagire a una comunicazione che è tecnicamente autentica come se fosse anche legittima. È una differenza che peserà molto di più di quanto possa apparire in una ricognizione dei casi di phishing.
Partecipa alla community