15 settembre 2026 – Una richiesta di dati sensibili, formulata secondo i protocolli inter-istituzionali, perviene ai sistemi di Revolut. Il mittente è un indirizzo di Posta Elettronica Certificata appartenente a una prefettura italiana, un canale considerato per sua natura affidabile e legalmente valido. L’operatore o il sistema automatizzato di Revolut che processa la richiesta esegue i controlli formali di routine: la provenienza dell’indirizzo PEC è autentica, il dominio è governativo, la sintassi della richiesta appare conforme. Non scatta alcun allarme. L’assenza di un protocollo di verifica sostanziale, che vada oltre la mera autenticità del mittente, costituisce la prima, fatale, falla nel processo di sicurezza dell’intermediario finanziario. La procedura interna si limita a un controllo di superficie, presupponendo che un canale certificato sia intrinsecamente sicuro.
Questa presunzione di affidabilità è esattamente il punto di rottura che un ecosistema di difesa avanzato avrebbe dovuto intercettare. Se Revolut avesse implementato un sistema come Scudo231, la richiesta non sarebbe mai stata processata passivamente. I suoi motori di analisi multimodale avrebbero immediatamente rilevato l’anomalia comportamentale: la richiesta, pur provenendo da un indirizzo valido, sarebbe stata confrontata con lo storico delle comunicazioni di quell’ente. Il sistema avrebbe segnalato una deviazione dal baseline operativo, come una tipologia di dati mai richiesta prima, un volume anomalo o un orario di invio statisticamente improbabile. Questo “segnale debole” avrebbe innescato un alert di livello critico, bloccando automaticamente l’esecuzione della richiesta e generando un ticket di verifica obbligatoria per il Data Protection Officer e la funzione Compliance, con contestuale notifica all’Organismo di Vigilanza. L’interazione umana sarebbe stata forzata dal sistema, ma solo dopo che il rischio era già stato neutralizzato a livello macchina.
Ignara della compromissione a monte, Revolut procede. I file contenenti i dati dei clienti vengono compilati ed estratti dai database interni. L’invio avviene attraverso i canali sicuri, in risposta a quella che appare come una legittima richiesta di cooperazione giudiziaria o amministrativa. L’operazione è tracciata nei log di sistema come un’attività ordinaria, un’esportazione di dati verso un’autorità pubblica. In questo preciso istante, la frode informatica, ai sensi dell’articolo 640-ter del codice penale, si consuma a danno della società, alterando il funzionamento di un sistema informatico per procurare a sé o ad altri un ingiusto profitto con altrui danno. Il profitto, in questo caso, non è monetario ma informativo: un pacchetto di dati personali e finanziari di inestimabile valore sul mercato nero. La responsabilità dell’ente ai sensi del D.Lgs. 231/2001 si materializza, poiché il reato è stato reso possibile da una colpa di organizzazione, ovvero l’assenza di modelli e procedure idonei a prevenire reati di questa specie.
La scoperta dell’inganno avviene solo in un secondo momento, quando l’istituzione governativa italiana, probabilmente contattata per un follow-up o per altre vie, nega categoricamente di aver mai inviato tale richiesta. La mail della prefettura era stata compromessa. Scatta l’allarme interno a Revolut, ma il danno è fatto. La società descrive l’accaduto come una “sofisticata truffa di impersonificazione esterna“, una definizione che, pur corretta, non la solleva dalle proprie responsabilità organizzative. Immediatamente, l’indirizzo PEC compromesso viene inserito in una blacklist. Vengono informate l’agenzia governativa titolare della casella, le autorità di contrasto – con l’avvio di un’indagine formale da parte della Polizia Postale –, l’autorità per la protezione dei dati per le evidenti implicazioni del GDPR, e l’autorità di vigilanza finanziaria per i profili di rischio operativo e di compliance.
L’indagine della Polizia Postale si muove su un doppio binario. Da un lato, l’accesso abusivo a sistema informatico (art. 615-ter c.p.) ai danni della prefettura, per ricostruire come gli attaccanti abbiano ottenuto il controllo della casella di posta certificata. Dall’altro, la frode informatica perpetrata contro Revolut. Per l’intermediario finanziario, le conseguenze non sono solo reputazionali. L’inchiesta penale potrebbe portare al sequestro preventivo finalizzato alla confisca del profitto del reato. Sebbene il profitto diretto sia nelle mani degli hacker, la giurisprudenza ammette la confisca per equivalente sui beni della società, qualora si accerti che l’ente abbia tratto un vantaggio, anche indiretto, dalla mancata adozione di misure di sicurezza adeguate, ad esempio risparmiando sui costi di implementazione di controlli più robusti. La sanzione pecuniaria prevista dal D.Lgs. 231/2001, calcolata in quote, potrebbe raggiungere importi elevatissimi, a cui si aggiungerebbero le sanzioni del Garante Privacy, potenzialmente fino al 4% del fatturato globale annuo.
In uno scenario alternativo governato da un modello organizzativo evoluto, la gestione dell’incidente sarebbe stata radicalmente diversa. Il blocco automatico della richiesta anomala da parte dei protocolli di Scudo231 avrebbe generato una registrazione immutabile dell’intero evento: la ricezione, l’analisi, la classificazione come minaccia, il blocco e l’escalation all’ODV. Questo pacchetto di dati forensi (XAI Packet) sarebbe diventato la prova regina, dimostrando in modo scientifico e inoppugnabile che il modello di prevenzione non era solo formalmente adottato, ma concretamente efficace e attuato. Di fronte a un’indagine, l’azienda avrebbe potuto dimostrare di aver eliso il nesso causale tra la sua organizzazione e l’evento-reato, che sarebbe stato declassato a mero tentativo, sventato grazie ai presidi interni. La responsabilità dell’ente sarebbe stata esclusa, le sanzioni interdittive e pecuniarie evitate, e la comunicazione alle autorità sarebbe stata quella di un tentato attacco respinto, non di una violazione di dati subita. L’Organismo di Vigilanza, anziché essere informato a posteriori, sarebbe stato un attore attivo nella gestione dell’allarme in tempo reale, come previsto dai flussi informativi automatizzati.
Revolut ha avviato la dolorosa procedura di contatto diretto verso il “numero limitato di persone coinvolte“, per informarli della violazione e offrire assistenza. Questo passaggio, sebbene necessario, amplifica il danno reputazionale e apre la porta a possibili azioni legali individuali o a class action da parte dei clienti i cui dati sono stati esfiltrati. La dichiarazione della società secondo cui “i sistemi e i fondi dei clienti non sono stati toccati” è tecnicamente corretta, ma parziale. La compromissione non ha riguardato i saldi dei conti, ma un asset altrettanto prezioso: l’integrità e la riservatezza delle informazioni personali, la cui violazione espone le vittime a rischi futuri di phishing, furto d’identità e altre frodi mirate.
La ricostruzione della compromissione della casella PEC della prefettura è ora al centro degli accertamenti. Questo dettaglio sposta una parte del focus sulla sicurezza informatica della Pubblica Amministrazione, ma non attenua la responsabilità di Revolut. Un operatore vigilante, specialmente nel settore finanziario, deve operare secondo un principio di “zero trust“, non fidandosi implicitamente di nessuna comunicazione esterna, anche se proveniente da canali apparentemente sicuri. L’onere della prova di aver adottato tutte le misure idonee a prevenire il reato ricade interamente sull’ente. La mancanza di un registro dettagliato che documenti i controlli sostanziali eseguiti su richieste anomale, o peggio, l’assenza stessa di tali controlli, costituisce una prova a carico nel quadro del D.Lgs. 231/2001.
La redazione di REDAZIONE SCUDO231 ha analizzato casi simili in cui l’assenza di un tracciamento granulare delle decisioni operative ha reso impossibile per le aziende dimostrare la propria diligenza. Senza una registrazione automatica e non alterabile di ogni anomalia e della relativa gestione, la difesa si basa su testimonianze e procedure cartacee, elementi spesso considerati deboli dal giudice. Un ecosistema integrato, invece, trasforma la compliance da un costo a un asset strategico-difensivo. Avrebbe documentato che il protocollo di sicurezza di Revolut non si era fidato del mittente, aveva identificato la minaccia tramite analisi stocastica e aveva attivato le contromisure previste dal modello organizzativo, il tutto in una frazione di secondo. Il danno economico, legale e di immagine sarebbe stato interamente annullato alla fonte, trasformando un potenziale disastro in una silenziosa e documentata vittoria della prevenzione.