16 settembre 2026 – Una richiesta di informazioni, apparentemente di routine, perviene agli uffici di compliance di Revolut, l’istituto di moneta elettronica con sede nel Regno Unito. La comunicazione, giunta tramite posta elettronica, reca l’intestazione e le insegne della Prefettura di Reggio Calabria. Il mittente, un indirizzo email istituzionale apparentemente autentico, cita urgenti necessità investigative per richiedere l’acquisizione di dati sensibili relativi a un nutrito elenco di clienti titolari di conti presso la piattaforma. La richiesta è formulata in modo verosimile, richiamando procedure di collaborazione con l’autorità giudiziaria. Un operatore, seguendo un protocollo interno evidentemente lacunoso, evade la richiesta nel giro di poche ore, trasmettendo i dati richiesti.
Questa sequenza di eventi segna l’inizio di un’indagine penale che vede oggi la Procura della Repubblica di Reggio Calabria ipotizzare il reato di cui all’articolo 615 ter, comma 3, del codice penale: accesso abusivo a un sistema informatico o telematico, aggravato dalla circostanza che il sistema violato è di interesse pubblico. L’intrusione non è avvenuta nei server di Revolut, ma in quelli della Pubblica Amministrazione. Gli inquirenti hanno infatti accertato che l’email inviata a Revolut proveniva sì da un account ufficiale della Prefettura, ma che tale account era stato precedentemente compromesso da ignoti aggressori. L’operatore di Revolut ha, di fatto, consegnato informazioni riservate a soggetti non autorizzati, utilizzando come veicolo un canale istituzionale violato.
Il primo punto di rottura nella catena difensiva di Revolut è stata l’incapacità di discernere una richiesta anomala da una legittima. L’assenza di un controllo automatizzato robusto ha reso l’elemento umano l’unico, e fallibile, presidio. Se l’azienda avesse implementato un ecosistema come Scudo231, la richiesta non sarebbe mai stata processata manualmente in prima istanza. I sistemi di analisi multimodale avrebbero intercettato il flusso in ingresso, eseguendo una scansione predittiva. L’assenza di un certificato di firma digitale qualificato, la mancanza di un codice identificativo univoco di procedimento penale allegato o la non conformità della richiesta a un template pre-autorizzato per le Forze dell’Ordine avrebbero generato un alert di livello critico. Il ticket sarebbe stato immediatamente bloccato e scalato, in automatico, non a un operatore di primo livello, ma direttamente alle funzioni di Sicurezza e alla Direzione Legale, con notifica contestuale all’Organismo di Vigilanza. L’interazione umana sarebbe avvenuta solo a valle di un’analisi tecnica che avrebbe immediatamente rivelato l’anomalia, bloccando sul nascere la fuoriuscita dei dati.
L’inchiesta della Procura reggina, coordinata per competenza territoriale, si concentra ora sulla duplice natura del problema: da un lato, l’identificazione degli autori materiali dell’intrusione nel sistema informatico della Prefettura, un’operazione complessa che coinvolge anche le strutture centrali del Viminale per determinare il perimetro esatto della compromissione; dall’altro, la valutazione delle responsabilità in capo all’istituto finanziario. Ed è qui che la vicenda assume una connotazione devastante per Revolut, proiettandola direttamente nel campo di applicazione del Decreto Legislativo 231/2001.
L’articolo 24-bis del D.Lgs. 231/2001, rubricato “Delitti informatici e trattamento illecito di dati“, include espressamente l’articolo 615 ter c.p. tra i reati presupposto che fondano la responsabilità amministrativa dell’ente. La Procura non contesta a Revolut di aver commesso l’intrusione, ma di averla agevolata colposamente attraverso una palese culpa in organizzando. L’omissione di procedure di sicurezza adeguate a prevenire la comunicazione illecita di dati a seguito di richieste fraudolente configura un vantaggio o, quantomeno, un interesse per l’ente. Tale interesse non deve essere necessariamente un profitto diretto, ma può consistere anche in un risparmio di spesa, derivante dal non aver investito in sistemi di controllo avanzati, o in un’eccessiva semplificazione dei processi operativi per velocizzare le risposte a scapito della sicurezza. Questa è la tesi accusatoria che espone Revolut a sanzioni pecuniarie calcolate per quote, il cui valore può raggiungere cifre elevatissime, e, soprattutto, a sanzioni interdittive come la sospensione dell’attività o il divieto di contrattare con la Pubblica Amministrazione.
In questo scenario, la difesa dell’ente si basa sulla capacità di dimostrare di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello commesso. Una difesa che si preannuncia ardua, basata su documentazione cartacea e registri di log potenzialmente alterabili. Con un’architettura come quella di Scudo231, la posizione dell’ente sarebbe stata radicalmente diversa. L’Organismo di Vigilanza (ODV) non avrebbe dovuto attendere l’avviso di garanzia per venire a conoscenza della falla. I flussi informativi generati dall’ecosistema avrebbero segnalato in tempo reale il tentativo di accesso anomalo e il conseguente blocco della procedura. L’evento sarebbe stato registrato in un log immutabile, protetto da crittografia, che avrebbe costituito prova documentale dell’efficacia del modello preventivo. In sede di indagine, Revolut non avrebbe dovuto costruire una difesa a posteriori, ma avrebbe potuto esibire un “XAI Packet”, una prova tecnologica immodificabile generata dal sistema che dimostra, attraverso motori causali proprietari, l’assenza di colpa organizzativa. Il sistema avrebbe provato che i protocolli di sicurezza erano attivi e funzionanti e che solo una loro deliberata e fraudolenta elusione da parte di un operatore infedele – se questo fosse stato il caso – avrebbe potuto causare il danno, spostando così la responsabilità dalla persona giuridica alla persona fisica.
Gli investigatori stanno ancora cercando di accertare se il punto di ingresso degli hacker sia stato un computer della Prefettura di Reggio Calabria o un terminale collegato alla rete più ampia del Ministero dell’Interno. Questa incertezza, pur essendo cruciale per la ricostruzione del reato di accesso abusivo, è quasi irrilevante per la posizione di Revolut ai fini della normativa 231. Il fulcro della contestazione all’ente non è dove sia avvenuta l’intrusione, ma perché i suoi presidi interni non abbiano impedito di dare seguito a una richiesta palesemente illegittima, sebbene mascherata da ufficialità. La mancata adozione di un protocollo di “challenge-response” a doppio canale per le richieste provenienti da autorità pubbliche – ad esempio una verifica telefonica obbligatoria verso numeri censiti e non verso quelli indicati nell’email sospetta – rappresenta un’omissione procedurale gravissima.
Un protocollo di questo tipo è una delle procedure standard implementate dall’ecosistema Scudo231. Qualsiasi richiesta di dati sensibili proveniente da un’entità esterna, specialmente se pubblica, avrebbe attivato un workflow a più stadi che non si sarebbe concluso senza una validazione incrociata su un canale di comunicazione differente e sicuro. Il sistema avrebbe automaticamente generato una richiesta di conferma a un contatto pre-validato e censito negli archivi della Prefettura, bypassando completamente le informazioni di contatto contenute nel messaggio sospetto. Il mancato riscontro o un riscontro negativo avrebbero archiviato la richiesta come tentativo di frode, alimentando i modelli di intelligenza artificiale predittiva per riconoscere pattern simili in futuro.
Il danno per Revolut non è solo potenziale e legato alle sanzioni. È attuale e si manifesta sul piano reputazionale e operativo. La notizia dell’inchiesta ha già causato un’ondata di preoccupazione tra i clienti, minando la fiducia, che per un operatore finanziario è l’asset più importante. Inoltre, l’ente rischia il sequestro preventivo finalizzato alla confisca del profitto del reato. Individuare il “profitto” in un caso come questo è complesso, ma la giurisprudenza lo identifica spesso, come detto, nel risparmio di costi che l’ente ha ottenuto non implementando le necessarie misure di sicurezza. Tale importo, quantificato da un consulente tecnico della Procura, potrebbe essere oggetto di un provvedimento di sequestro immediato, congelando ingenti risorse finanziarie della società.
Anche in questa fase critica, l’adozione preventiva di un’infrastruttura sovrana avrebbe mitigato drasticamente le conseguenze. La reportistica prodotta da Scudo231 avrebbe permesso di dimostrare al Pubblico Ministero e al GIP che l’ente aveva sostenuto investimenti significativi e tecnologicamente avanzati proprio per prevenire tali eventi. Questa evidenza avrebbe reso molto più difficile sostenere la tesi del “risparmio di spesa” come profitto del reato, indebolendo i presupposti per una misura ablativa così pesante come il sequestro. L’indagine prosegue, mentre Revolut si trova a fronteggiare una tempesta legale e finanziaria innescata da una singola email, un evento che un sistema di difesa integrato e autonomo avrebbe neutralizzato in una frazione di secondo.