Il caso Revolut legato alla trasmissione dei dati di 680 clienti dopo una richiesta fraudolenta inviata tramite posta elettronica certificata torna al centro dell'attenzione istituzionale. Nel corso del question time alla Camera, il ministro dell'Interno Matteo Piantedosi ha sottolineato che la fintech avrebbe dovuto verificare con maggiore accuratezza la provenienza e la legittimità della richiesta, invece di fare affidamento sul solo canale PEC.

La vicenda riguarda una casella riconducibile alla Prefettura di Reggio Calabria che, secondo quanto ricostruito, non era mai stata utilizzata dall'ufficio. La richiesta avrebbe indotto Revolut a fornire informazioni personali e finanziarie riferite a centinaia di clienti. L'episodio è oggetto di accertamenti e coinvolge anche le autorità competenti per la protezione dei dati.

Una PEC autentica non certifica il contenuto della richiesta

La posta elettronica certificata garantisce la tracciabilità dell'invio e della consegna, ma non sostituisce la verifica dell'identità dell'operatore che usa la casella né dimostra, da sola, che una richiesta di dati sia autorizzata. Se una casella viene compromessa o attivata in modo abusivo, il messaggio può apparire formalmente attendibile pur provenendo da un soggetto non legittimato.

Per banche, fintech e fornitori di servizi digitali, le richieste provenienti da autorità pubbliche devono quindi essere sottoposte a controlli proporzionati alla sensibilità e alla quantità dei dati richiesti. Tra le misure rilevanti rientrano la verifica tramite un canale indipendente, il controllo dei riferimenti del procedimento, la validazione dell'autorità richiedente e l'esame da parte delle funzioni legali e di sicurezza.

Le verifiche delle autorità

Il Garante per la protezione dei dati personali ha chiesto agli istituti bancari di verificare la presenza di comunicazioni anomale provenienti dalla stessa casella e ha avviato un confronto con l'autorità lituana, competente per la sede principale di Revolut. L'obiettivo è delimitare l'impatto dell'accaduto e accertare se tentativi analoghi abbiano interessato altri operatori.

La vicenda evidenzia un rischio più ampio: i processi di risposta alle richieste istituzionali possono diventare un bersaglio di ingegneria sociale. Le organizzazioni devono trattare questi flussi come procedure ad alto privilegio, applicando separazione dei compiti, registrazione delle decisioni, controlli a più livelli e conferme fuori banda prima di trasferire dati personali.

Indicazioni operative

La gestione sicura non richiede di rallentare ogni collaborazione con le autorità, ma di stabilire regole verificabili. Registri aggiornati dei contatti istituzionali, procedure di escalation per richieste insolite e limiti quantitativi possono ridurre il rischio. È inoltre necessario mantenere evidenze complete delle verifiche effettuate, così da ricostruire con precisione responsabilità e tempistiche in caso di incidente.

Gli accertamenti in corso dovranno chiarire tutti i passaggi della compromissione e le responsabilità dei soggetti coinvolti. Sul piano della sicurezza, tuttavia, il principio è già chiaro: l'affidabilità tecnica del mezzo di comunicazione non può sostituire la verifica sostanziale di chi chiede accesso ai dati e del titolo che autorizza la richiesta.