La crescita degli attacchi informatici ha assunto, in Italia come nel resto d’Europa, il carattere di una costante: ogni rilevazione annuale supera la precedente, e la distanza tra la capacità offensiva di chi attacca e la capacità difensiva di chi deve proteggersi non accenna a ridursi. Tra le vicende recenti, le più note sono quelle che hanno coinvolto gli istituti bancari Revolut e Fideuram, emerse a pochi giorni di distanza nel settembre 2026, che, per quanto diverse, presentano un chiaro elemento in comune: in nessuno dei due casi il danno è derivato dalla diretta compromissione dei sistemi informatici dell’intermediario. In entrambi, come si vedrà nel prosieguo, l’attaccante ha fatto leva su un canale al quale l’organizzazione attribuiva, per prassi o per previsione normativa, un’affidabilità presunta, in modo tale da forzare la stessa vittima, con il proprio comportamento, a compiere operazioni materialmente dannose per l’istituzione. Dunque, l’oggetto dell’attacco informatico nell’era dell’intelligenza artificiale si sposta dalle credenziali del singolo dipendente o dirigente alla fiducia che lega l’istituzione ai propri interlocutori qualificati e ai propri clienti.
Il caso che ha coinvolto la nota banca Revolut Bank UAB si è svolto secondo il seguente schema. Revolut ha dato seguito, per circa cinque mesi, a richieste di acquisizione di dati trasmesse da una casella di posta elettronica certificata del dominio pec.interno.it, riconducibile alla Prefettura di Reggio Calabria, consegnando i fascicoli di adeguata verifica di circa 680 clienti, per lo più residenti in Svizzera e in Francia: documenti di identità, immagini acquisite per la verifica biometrica, coordinate bancarie, estratti conto e storico delle operazioni, anche in cripto-attività. Le modalità di accesso alla casella non sono state accertate: nel question time del 30 settembre svoltosi presso la Camera dei deputati, il Ministro dell’Interno ha riferito che l’indirizzo PEC non era mai stato attivato dall’ufficio e che la banca avrebbe potuto rilevare l’anomalia con un minimo di diligenza, mentre analisi di parte privata riconducono l’accesso a credenziali sottratte mediante infostealer. Alla richiesta di riscatto rivolta alla banca, rimasta senza seguito, sono seguite l’estorsione diretta ai singoli clienti e la diffusione di anteprime, non verificate, di documenti attribuiti ad amministrazioni dello Stato. La banca, dal canto suo, ha indicato negli enti pubblici l’anello debole dell’intera vicenda, con uno sconfortante addossarsi di responsabilità tra istituzioni che mal si concilia con la tutela dei correntisti che hanno subito una simile violazione.
Il profilo più significativo riguarda l’oggetto dell’attacco. L’attaccante, infatti, non si è rivolto al cliente né alle sue credenziali, bensì si è interposto in quel rapporto sottostante e altamente qualificato tra l’intermediario e l’autorità, alla quale questo è tenuto a dare riscontro: un’unica condotta fraudolenta nei confronti della banca (e dei suoi addetti, ragionevolmente indotti a credere di interfacciarsi con un’istituzione italiana) ha prodotto effetti su centinaia di persone che difficilmente una cautela individuale avrebbe potuto proteggere. È stata dunque sfruttata la presunzione di affidabilità che l’ordinamento e la prassi associano alla posta certificata di un’amministrazione e alla richiesta dell’autorità giudiziaria, unita alla pressione dei termini di riscontro. Il reciproco addebito di responsabilità tra Ministero e intermediario mostra, del resto, che la breccia nella fiducia riguarda anche i rapporti tra i soggetti istituzionali, oltre a quello tra il cliente e la propria banca.
I rischi paventati dopo un simile attacco sono molti: dal furto di identità “puro e semplice” alla frode informatica, fino alla costruzione di manovre fraudolente più complesse in cui l’obiettivo è la manipolazione della vittima, in maniera tale da sfruttarne i comportamenti idonei ad autorizzare pagamenti e operazioni. Per l’appunto, i pericoli posti da una circostanza come quella appena narrata sono di fatto divenuti realtà in un caso emerso qualche giorno dopo che, seppur del tutto slegato dalla vicenda Revolut, ha mostrato quali possano essere gli sviluppi e le conseguenze di strategie di attacco come quella appena descritta.
Infatti, il 25 settembre è emersa la notizia di un’operazione fraudolenta ai danni di Fideuram: il presidente della società ha ricevuto un messaggio WhatsApp attribuito all’amministratore delegato della capogruppo, seguito da una telefonata in cui la voce del managing partner di uno studio legale internazionale, personalmente noto alla vittima, era riprodotta con strumenti di sintesi vocale, e da comunicazioni email apparentemente provenienti dallo studio con l’indicazione dei conti di destinazione. Sono stati trasferiti circa 95 milioni di euro verso Cina e Hong Kong, di cui circa 36 non ancora recuperati (al momento in cui si scrive); la Procura di Milano procede per frode informatica e ha aperto altri due fascicoli per condotte analoghe ai danni di istituti diversi. Anche qui nessuna intrusione diretta nei sistemi dell’istituto di credito vittima: l’autorità impersonata era interna al gruppo anziché pubblica, e il presidio idoneo a interrompere la sequenza, la verifica della richiesta su un canale indipendente, aveva natura organizzativa.
In entrambe le vicende l’attacco non si esaurisce nel primo bersaglio. Nel caso Revolut gli effetti si sono trasmessi dalla casella istituzionale all’intermediario, da questo agli interessati e, stando alle rivendicazioni, di nuovo verso le amministrazioni; sul versante pubblico, il Ministero ha intanto disposto una verifica sul contratto Consip per i servizi PEC della pubblica amministrazione. In uno dei fascicoli milanesi successivi al caso Fideuram, le comunicazioni provenivano da una casella apparentemente riferibile a un dipendente dell’istituto. Lo stesso schema si ritrova nelle campagne rivolte alle piccole e medie imprese, come quelle basate sull’abuso del flusso di autorizzazione dei dispositivi di OAuth 2.0 (device authorization grant) nei servizi Microsoft 365, documentate dalla stessa Microsoft nell’aprile 2026: la vittima inserisce un codice nella pagina di accesso legittima e completa l’autenticazione, compresa quella a più fattori, autorizzando la sessione dell’attaccante, che ottiene token validi anche dopo il cambio della password. La casella compromessa diventa un mittente attendibile per clienti, fornitori e intermediari, e la PMI, spesso estranea al perimetro NIS 2 o DORA ma inserita nella filiera di soggetti regolati, diventa il punto di ingresso verso questi ultimi. Applicata alla casella di una funzione interna di un ente creditizio, la stessa tecnica porrebbe la banca nella posizione che nel caso Revolut ha avuto la Prefettura, quella di mittente qualificato verso clientela, controparti e autorità.
Questi profili non sono estranei alla disciplina europea. Per gli enti creditizi il riferimento è il solo regolamento (UE) 2022/2554, che l’art. 3, comma 14, del d.lgs. 4 settembre 2024, n. 138, richiama come disciplina speciale per i settori bancario e delle infrastrutture dei mercati finanziari; il decreto NIS rileva invece per gli altri anelli della catena, dalle amministrazioni ai fornitori. Il decreto, di recepimento della direttiva (UE) 2022/2555, attribuisce agli organi di amministrazione e direttivi l’approvazione delle misure di gestione del rischio, la supervisione sulla loro attuazione, la responsabilità per le violazioni e un obbligo di formazione (art. 23); il regolamento (UE) 2022/2554 pone in capo all’organo di gestione la responsabilità finale per la gestione dei rischi informatici (art. 5, par. 2, lett. a) ed estende la formazione obbligatoria agli alti dirigenti (art. 13, par. 6), scelta che il caso Fideuram dimostra fondata, dal momento che, sebbene questi attacchi interessino spesso anche i semplici dipendenti, i bersagli più redditizi sono ai vertici. Entrambe le discipline sopracitate riconoscono inoltre che il rischio corre lungo la filiera: vi provvedono l’art. 24, comma 2, lett. d) del decreto, cui le determinazioni ACN di aprile 2026 hanno dato concretezza imponendo il censimento dei fornitori rilevanti, nonché gli artt. 28 ss. DORA. Gli obblighi di notifica (art. 25 d.lgs. 138/2024; art. 19 DORA) e gli accordi di condivisione delle informazioni (art. 45 DORA) consentono di trasformare l’evento occorso a un operatore in occasione di verifica per l’intero settore, secondo la stessa logica della richiesta rivolta dal Garante ai responsabili della protezione dei dati delle banche dopo il caso Revolut. L’autenticazione a più fattori e le comunicazioni protette (art. 24, comma 2, lett. l) d.lgs. 138/2024; art. 9, par. 4, lett. d) DORA) fissano infine un contenuto minimo delle misure.
Alla prova dei casi esaminati, tuttavia, l’impianto mostra limiti che non dipendono da carenze di regolazione a livello normativo. Le normative che si occupano di sicurezza informatica consistono anzitutto in una disciplina organizzativa e procedimentale, i cui obblighi di notifica presuppongono che l’evento sia rilevato, ciò che nel caso Revolut è avvenuto dopo mesi. Gli attacchi descritti, poi, si svolgono all’interno dei presidi prescritti: l’autenticazione a più fattori è completata dalla vittima, la posta certificata supera i controlli di autenticazione del dominio e le comunicazioni protette della lett. l) riguardano l’ambito interno del soggetto, mentre a Fideuram il contatto è avvenuto su canali esterni; analogamente, gli obblighi di trasparenza sui contenuti generati dall’intelligenza artificiale (art. 50 reg. (UE) 2024/1689) vincolano chi la impiega lecitamente, non chi la usa per scopi fraudolenti. Vi è inoltre un problema di perimetro. La nozione di incidente connesso alle TIC (art. 3, n. 8 DORA) presuppone un evento che «compromette la sicurezza dei sistemi informatici e di rete», requisito di dubbia ricorrenza in entrambe le vicende. Per gli enti creditizi soccorre la più ampia nozione di incidente operativo o di sicurezza dei pagamenti (art. 3, n. 9, e art. 23 DORA), che prescinde dalla compromissione dei sistemi ma resta circoscritta ai dati e ai servizi connessi ai pagamenti: vi rientra certamente la divulgazione dello storico delle operazioni dei clienti Revolut, mentre è incerto che vi rientri un trasferimento disposto dalla stessa banca su istruzioni fraudolente, nel quale il servizio di pagamento ha funzionato come previsto e il vizio stava nella matrice di autorizzazione dell’intero processo di pagamento. Più utile, per i dati, è la nozione di violazione dei dati personali (art. 4, n. 12 GDPR), costruita sulla violazione di sicurezza da cui derivi la divulgazione non autorizzata dei dati indipendentemente dalla compromissione dei sistemi, e quindi idonea a ricomprendere la comunicazione ottenuta con l’inganno; ne resta però esclusa la frode patrimoniale che non comporti un trattamento illecito di dati, come quella subita da Fideuram, che le discipline sulla resilienza digitale raggiungono solo in via incerta e che trova la sua sede naturale nel diritto penale (artt. 640 e 640-ter c.p.). Resta infine il peso della conformità: le imprese escluse dal perimetro ricevono gli obblighi per via contrattuale, e la pluralità di autorità e canali di notifica (nel solo caso Revolut, tra gli altri, ACN, Garante, autorità lituana, Banca d’Italia, FCA e ICO) alimenta il rischio che la conformità sia vissuta come adempimento formale anziché come presidio sostanziale.
La misura che avrebbe interrotto le sequenze esaminate, cioè la verifica della richiesta attraverso un canale indipendente da quello di provenienza, non forma oggetto di alcuna previsione specifica e discende dalle sole clausole generali di adeguatezza e di adozione di una serie di misure di sicurezza parametrate all’istituzione (art. 32 GDPR, art. 24 d.lgs. 138/2024, art. 9 DORA). La sua effettività dipende dalle scelte degli organi di gestione che quelle discipline rendono responsabili, e dalla disponibilità ad ammettere che una richiesta formalmente ineccepibile, proveniente da un canale qualificato, possa essere sospesa in attesa di conferma. Quando gli effetti di un attacco si propagano per cerchi successivi lungo i rapporti tra imprese, intermediari e amministrazioni, il livello di protezione di ciascuno dipende anche da quello del soggetto più esposto tra quelli di cui si fida.
Fonti consultate
Direttiva (UE) 2022/2555 (NIS 2); d.lgs. 4 settembre 2024, n. 138. https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ita; https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138
Regolamento (UE) 2022/2554 (DORA); https://eur-lex.europa.eu/eli/reg/2022/2554/oj/ita
Regolamento (UE) 2016/679. https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX%3A32016R0679
Garante per la protezione dei dati personali, comunicato del 18 settembre 2026 e Newsletter del 30 settembre 2026, https://gpdp.it/home/docweb/-/docweb-display/docweb/10300466
Camera dei deputati, seduta del 30 settembre 2026, interrogazione a risposta immediata al Ministro dell’Interno https://pasqualepillitteri.it/news/19814/revolut-piantedosi-pec-prefettura).
Il Post, 15 settembre 2026, https://www.ilpost.it/2026/09/15/truffa-revolut-criminali-informatici-dati-clienti/
P. Pillitteri, Revolut, il leak dei file italiani mette in dubbio il Viminale, 25 settembre 2026, https://pasqualepillitteri.it/news/18350/revolut-leak-file-italiani-viminale-dubbio
Fanpage.it, 23 settembre 2026, estorsione ai clienti ripresa in https://pasqualepillitteri.it/news/17741/revolut-hacker-riscatto-clienti-leak-site
Il Sole 24 Ore, Revolut, initial investigations do not confirm the theft of 147 gigabytes of data, https://en.ilsole24ore.com/art/revolut-initial-investigations-do-not-confirm-the-theft-of-147-gigabytes-of-data-from-the-ministry-of-the-interior-AJcNmXGB
Punto Informatico, 7 ottobre 2026, https://punto-informatico.it/fintech/conti/revolut-rimborsera-costi-nuovi-documenti-clienti-colpiti
SecurityWeek, https://www.securityweek.com/revolut-data-breach-5-months-680-high-profile-accounts-3m-ransom/ ; CyberInsider (Hudson Rock), https://cyberinsider.com/revolut-hackers-used-infostealer-to-hijack-italian-government-emails/
Il Post, 25 settembre 2026, https://www.ilpost.it/2026/09/25/fideuram-truffa-whatsapp-ai/ ; BusinessOnline, altri due casi, https://www.businessonline.it/news/altre-2-banche-sono-state-truffate-per-26-mln-dopo-i-presidenti-di-banca-intesa-e-fideuram-per-96-mln-la-procura-di-milano-indaga_n87627.html
Microsoft Security Blog, 6 aprile 2026, https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign/ ; Huntress, https://www.huntress.com/blog/device-code-phishing-evolving-threats ; The Hacker News, marzo 2026, https://thehackernews.com/2026/03/device-code-phishing-hits-340-microsoft.html
Il Mondo (Internazionale), La grande truffa alla banca Revolut, 21 settembre 2026, https://open.spotify.com/episode/00JD6LB9JM6NyiaVzkqvzi
