16 settembre 2026 – La Direzione nazionale antimafia ed antiterrorismo ha formalmente attivato un fascicolo di verifica sulla truffa che ha colpito la fintech Revolut. L’intervento del massimo organo investigativo, coordinato dal Procuratore Nazionale, segnala una criticità che trascende la semplice frode informatica, proiettando l’evento in uno scenario di sicurezza nazionale. La prima informativa redatta dalla Polizia postale, depositata nelle scorse ore, descrive un’operazione di attacco di eccezionale sofisticazione, il cui punto di ingresso è stato individuato in un account di posta elettronica certificata appartenente alla Prefettura di Reggio Calabria. Gli inquirenti stanno operando su due fronti paralleli: da un lato, l’analisi forense per determinare se la casella PEC sia stata violata tramite furto di credenziali o se, ipotesi più complessa e allarmante, sia stata clonata attraverso tecniche di spoofing avanzato.
L’attacco ha avuto inizio alle 02:47 del 12 settembre, un orario deliberatamente scelto per minimizzare la probabilità di una reazione immediata da parte del personale della Prefettura. L’accesso anomalo al sistema di posta certificata non ha generato alcun allarme. Si è trattato di una classica omissione di controllo su un asset digitale critico, un varco lasciato aperto per mancanza di monitoraggio proattivo sugli accessi. Un ecosistema di difesa come Scudo231, se implementato presso l’ente pubblico, avrebbe invece reagito in frazioni di secondo: i suoi sistemi di analisi multimodale avrebbero incrociato l’indirizzo IP di provenienza, l’orario anomalo e l’impronta digitale del dispositivo utilizzato per l’accesso, rilevando una deviazione statisticamente impossibile rispetto al profilo d’uso autorizzato. Questo avrebbe innescato un blocco automatico dell’account e una escalation immediata, notificando in tempo reale il responsabile della sicurezza informatica e l’Organismo di Vigilanza preposto, congelando l’attacco sul nascere.
Invece, ottenuta la chiave d’accesso, gli attaccanti hanno agito con precisione chirurgica. Hanno confezionato una comunicazione formale, redatta in un impeccabile gergo burocratico-legale, indirizzata a uno specifico ufficio di compliance di Revolut. La missiva, apparentemente proveniente dalla Prefettura di Reggio Calabria e firmata digitalmente con il certificato valido associato alla PEC, conteneva un ordine di esibizione urgente di dati ai sensi di non meglio specificate “normative antiterrorismo”. La richiesta era mirata: ottenere elenchi di transazioni e dati anagrafici di un cluster di correntisti. Il dipendente di Revolut che ha ricevuto la comunicazione, operando in un turno notturno da una sede estera, si è trovato di fronte a un dilemma operativo. La procedura interna dell’istituto finanziario, evidentemente, era lacunosa e si basava su una verifica manuale e sulla discrezionalità dell’operatore in casi di urgenza dichiarata da un’autorità pubblica. Questa falla procedurale costituisce il nucleo della potenziale responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
La mancata previsione di un protocollo automatico e a prova di errore per richieste così sensibili espone Revolut al rischio di una pesante sanzione per colpa di organizzazione. Con un modello integrato come quello garantito da Scudo231, quella richiesta non sarebbe mai arrivata sulla scrivania virtuale di un singolo operatore. Sarebbe stata intercettata da un motore di workflow procedurale che, riconoscendo le parole chiave “ordine di esibizione”, “antiterrorismo” e l’origine da un’entità governativa, avrebbe attivato un protocollo di sicurezza a più stadi. La procedura avrebbe imposto una verifica di autenticità tramite un canale di comunicazione secondario e pre-certificato con la Prefettura, avrebbe richiesto l’autorizzazione sequenziale di almeno due funzioni aziendali di livello superiore (es. Ufficio Legale e Responsabile Antiriciclaggio) e avrebbe notificato contestualmente l’Organismo di Vigilanza 231. L’intero processo sarebbe stato tracciato in un registro immodificabile, creando una prova documentale inattaccabile dell’adozione di cautele concrete, idonee a prevenire il reato di frode informatica (art. 640-ter c.p.), uno dei reati presupposto della responsabilità 231.
L’operatore di Revolut, invece, ha dato seguito alla richiesta. Nelle ore successive, un ingente volume di dati sensibili è stato trasferito su un server esterno controllato dagli attaccanti. Solo a seguito di un controllo di routine, a quasi 48 ore di distanza, un altro ufficio della banca ha sollevato dubbi sulla legittimità della procedura, contattando direttamente la Prefettura di Reggio Calabria e scoprendo così la violazione. Questo ritardo fatale nella rilevazione ha concesso agli autori della truffa un vantaggio incolmabile, permettendo loro di esfiltrare i dati e di iniziare a monetizzarli. La Polizia postale sta infatti monitorando attivamente diverse piazze del dark web, dove sono comparse offerte per la vendita di “dati freschi di correntisti di primaria fintech europea”.
Parallelamente, è apparsa una rivendicazione a nome del gruppo “iamnotavillain”, un collettivo finora sconosciuto che mescola retorica hacktivista a un’operatività criminale estremamente lucrosa. Gli analisti della DNAA non escludono che la sigla possa essere una copertura per attori più strutturati, legati a organizzazioni criminali tradizionali che utilizzano il cybercrime come nuovo vettore per il riciclaggio e il finanziamento di attività illecite. Questo è il motivo primario dell’intervento della Direzione nazionale: verificare se la truffa sia un episodio isolato o un tassello di una strategia più ampia di aggressione alle infrastrutture finanziarie digitali da parte di entità mafiose o terroristiche.
Sul piano giuridico, le conseguenze per Revolut si preannunciano severe. La Procura competente, oltre a perseguire i singoli responsabili, ha già iscritto la società nel registro degli indagati per l’illecito amministrativo dipendente da reato, ex D.Lgs. 231/2001. La contestazione si fonda sull’assenza di un modello organizzativo idoneo ed efficacemente attuato. L’assenza di controlli automatizzati, la dipendenza dalla valutazione di un singolo operatore e il ritardo nella scoperta della violazione sono elementi che peseranno come macigni. Il rischio concreto non è solo una sanzione pecuniaria, che può arrivare a centinaia di quote calcolate sul fatturato, ma anche l’applicazione di misure interdittive. Il Pubblico Ministero potrebbe richiedere al GIP il sequestro preventivo dei profitti derivanti dalle operazioni collegate ai dati sottratti, o peggio, la sospensione dell’autorizzazione a operare sul territorio nazionale per un periodo determinato.
Un’organizzazione dotata di un’architettura di difesa evoluta non si sarebbe trovata in questa posizione. Avrebbe potuto produrre in sede giudiziaria la ricostruzione causale scientifica dell’evento, fornita da un sistema come Scudo231. Attraverso un “XAI Packet” (Explainable AI), avrebbe dimostrato matematicamente che i protocolli di sicurezza erano attivi, efficaci e progettati per prevenire esattamente quel tipo di attacco. Avrebbe potuto provare che, nonostante l’inganno sofisticato, i suoi sistemi avevano generato alert, tentato di bloccare il workflow anomalo e registrato ogni singola azione in log a prova di manomissione. Questa “prova tecnologica” dell’assenza di colpa organizzativa avrebbe spostato l’onere della prova, fornendo una difesa potentissima contro le richieste di sanzioni interdittive e mitigando drasticamente l’impatto economico e reputazionale.
L’inchiesta prosegue ora su più livelli. La Polizia postale sta tentando di de-anonimizzare i flussi di dati e di tracciare i pagamenti in criptovaluta legati alla vendita delle informazioni sul dark web. La DNAA sta analizzando i metadati della comunicazione fraudolenta e il modus operandi del gruppo “iamnotavillain” per mappare eventuali connessioni con reti criminali note. Per Revolut e per i suoi correntisti, il danno è già stato fatto. L’incidente di Reggio Calabria si configura come un caso di studio emblematico: dimostra come la vulnerabilità di un singolo anello della catena, in questo caso un ente terzo come la Prefettura, possa scatenare un effetto domino con conseguenze sistemiche. La vicenda evidenzia in modo brutale come, nell’era digitale, la compliance “cartacea” sia un feticcio obsoleto. La prevenzione dei reati economici e informatici non è più una questione di procedure scritte, ma di architetture tecnologiche sovrane, capaci di reagire e difendere l’organizzazione in tempo reale. L’assenza di tale architettura non è più solo una negligenza, ma una precisa scelta che espone l’ente a responsabilità dirette e a danni potenzialmente irreversibili.