È uno dei casi di data breach più interessanti delle ultime ore per chi si occupa di privacy e cybersecurity. Revolut ha confermato di essere stata vittima di una sofisticata campagna di scam nella quale una falsa richiesta governativa è stata ritenuta autentica. Il messaggio proveniva da un account non autorizzato, ma utilizzava un dominio email reale di un’agenzia governativa – elemento che avrebbe contribuito a convincere la società della legittimità della richiesta.
Il risultato è particolarmente grave: secondo la ricostruzione pubblicata da Federprivacy sulla base delle informazioni diffuse dalla società e da Reuters, sarebbero stati trasmessi dati personali e finanziari di un numero limitato di clienti. Tra le informazioni esposte figurano nome, cognome, data di nascita, occupazione, indirizzo, email, numero di telefono, documenti d’identità, selfie utilizzati per la verifica dell’identità, IBAN, estratti conto e cronologia delle transazioni, comprese quelle in Bitcoin.
La parte più sorprendente è la durata dell’operazione: secondo la ricostruzione, la truffa sarebbe proseguita per circa cinque mesi, attraverso richieste distribuite nel tempo, prima di essere scoperta.
La vicenda interessa direttamente anche gli studi legali. Non basta infatti che un messaggio arrivi da un dominio apparentemente autentico per poterlo considerare affidabile: il caso mostra quanto sia diventata delicata la verifica dell’identità digitale del mittente, soprattutto quando la richiesta riguarda documenti, dati bancari o informazioni personali. C’è un dettaglio particolarmente rilevante per il mondo forense: secondo la ricostruzione, in almeno uno degli episodi sarebbe stata utilizzata anche una PEC italiana, elemento che avrebbe contribuito a rendere credibile la comunicazione.
Per avvocati, DPO e responsabili IT la lezione è concreta: autenticità del dominio e autenticità del mittente non sono necessariamente la stessa cosa. In un’epoca nella quale phishing e social engineering sfruttano sempre più elementi reali per costruire richieste false, la procedura di verifica diventa parte integrante della sicurezza dei dati.
Articoli simili
Multe PagoPA false spedite da PEC violate: la nuova truffa che inganna anche gli occhi più attenti
Il messaggio arriva da una casella di posta certificata compromessa, con centinaia di altri indirizzi PEC in copia: basta un clic per finire su un…
Il documento informatico resta prova solo se conservato secondo le regole del CAD e delle Linee guida AgID: Servicematica lo offre in convenzione con gli…
Il Garante privacy sanziona per 2mila euro la Federazione nazionale degli ordini dei biologi per due comunicazioni PEC inviate nel 2025 con gli indirizzi di…
