Il caso Revolut assume una dimensione italiana dopo gli accertamenti avviati dalla Polizia postale sulla possibile compromissione di una casella di posta elettronica certificata riconducibile a un’istituzione pubblica.
Secondo quanto emerso nelle ricostruzioni investigative riportate il 15 e 16 settembre 2026, la società finanziaria avrebbe ricevuto richieste di informazioni sui propri clienti da un indirizzo appartenente al dominio @pec.interno.it. La casella, secondo fonti citate dalla stampa, sarebbe stata effettivamente utilizzata da soggetti non autorizzati e sarebbe riconducibile alla Prefettura di Reggio Calabria. La circostanza è oggetto di accertamenti e non costituisce, allo stato, un accertamento giudiziario definitivo.
Il sito ufficiale della Prefettura di Reggio Calabria indica effettivamente come casella PEC istituzionale l’indirizzo protocollo.prefrc@pec.interno.it.
Il meccanismo al centro dell’indagine è particolarmente delicato: non si sarebbe trattato semplicemente di imitare graficamente un indirizzo pubblico, ma dell’utilizzo di una casella inserita all’interno di un dominio governativo legittimo. È proprio questo elemento ad aver contribuito, secondo le informazioni diffuse finora, a rendere credibili le richieste ricevute da Revolut.
I dati consegnati e la precisazione di Revolut
La società ha riconosciuto l’esistenza dell’incidente, descrivendolo come una “sofisticata truffa di impersonificazione esterna” nella quale un soggetto non autorizzato avrebbe utilizzato un indirizzo appartenente al dominio di un’agenzia governativa legittima per presentare richieste fraudolente di informazioni. La dichiarazione è stata resa da un portavoce di Revolut il 15 settembre 2026, secondo quanto riportato da ANSA.
Le informazioni potenzialmente trasmesse comprendevano, secondo la comunicazione inviata agli utenti coinvolti, dati identificativi, documenti d’identità, immagini utilizzate per la verifica, IBAN, informazioni sul conto, prelievi ed elementi della cronologia delle transazioni, comprese quelle relative a Bitcoin.
Revolut ha però distinto con chiarezza la sottrazione di informazioni personali dall’accesso diretto ai propri sistemi. L’azienda ha dichiarato che i sistemi Revolut e i fondi dei clienti non sono stati compromessi. Dopo aver individuato l’anomalia, la società ha riferito di avere bloccato l’indirizzo utilizzato, informato l’istituzione interessata e avvisato le autorità competenti, oltre a contattare direttamente le persone coinvolte. ATra le persone coinvolte anche Mark Karpelès
Tra i clienti che hanno dichiarato pubblicamente di essere stati interessati dall’incidente figura anche Mark Karpelès, ex amministratore delegato di Mt. Gox.
Karpelès ha contestato pubblicamente la procedura adottata da Revolut. In un intervento del 13 settembre 2026, ha sostenuto che la società non avrebbe dovuto trasmettere i dati dei propri clienti soltanto perché la richiesta sembrava provenire da un’agenzia governativa, sottolineando la necessità di una verifica ulteriore dell’autenticità della richiesta.
La sua posizione si inserisce nel dibattito sulle procedure con cui gli operatori finanziari verificano le richieste provenienti dalle autorità. Nel caso in esame, secondo la ricostruzione resa pubblica, la richiesta appariva collegata a un dominio istituzionale autentico, elemento che avrebbe contribuito a superare i controlli iniziali.
Il Codacons chiede di verificare quante caselle siano state coinvolte
La vicenda ha sollevato interrogativi anche sulla sicurezza delle PEC delle amministrazioni pubbliche.
Il Codacons ha chiesto alle autorità di accertare l’ampiezza dell’episodio e, in particolare, di verificare se altre istituzioni italiane possano essere state interessate da compromissioni analoghe. L’associazione ha inoltre sollecitato verifiche sulle caselle PEC eventualmente utilizzate per ottenere informazioni riservate da operatori finanziari.
La questione centrale degli accertamenti riguarda quindi non soltanto i dati già acquisiti, ma anche la possibile esistenza di altre richieste inoltrate attraverso account istituzionali compromessi. Saranno le indagini a dover stabilire come sia stata ottenuta l’eventuale disponibilità della casella, per quanto tempo sia rimasta sotto il controllo di soggetti non autorizzati e quali comunicazioni siano state effettuate nel periodo interessato.
Le interrogazioni parlamentari
Il caso è arrivato anche sul terreno parlamentare. I senatori del Partito democratico Lorenzo Basso e Antonio Nicita hanno annunciato un’interrogazione al ministro dell’Interno Matteo Piantedosi, chiedendo chiarimenti sulle notizie relative alla possibile compromissione della PEC della Prefettura di Reggio Calabria. Una richiesta analoga è stata presentata alla Camera dalla deputata di Alleanza Verdi e Sinistra Elisabetta Piccolotti. La circostanza è riportata nelle cronache del 15 settembre 2026.
Secondo quanto riferito dai due senatori, qualora la ricostruzione fosse confermata, sarebbe necessario chiarire immediatamente le modalità attraverso cui le richieste sarebbero arrivate a Revolut e verificare se il problema possa avere interessato altri uffici pubblici.
Al momento, però, la stessa formulazione delle iniziative parlamentari mantiene il punto sul piano delle ipotesi da verificare: il collegamento tra la casella della Prefettura e le richieste inviate a Revolut è infatti oggetto di accertamenti.
Un’inchiesta ancora aperta
La Polizia postale sta lavorando alla ricostruzione dell’accaduto con un’indagine che, secondo ANSA, riguarda ipotesi di accesso abusivo a sistema informatico e frode informatica. Gli investigatori devono stabilire come sia stata compromessa la casella istituzionale e quali siano state le attività compiute attraverso quell’account.
Parallelamente resta da definire con precisione il perimetro dei dati interessati. Le informazioni finora diffuse descrivono un numero limitato di clienti coinvolti e una quantità significativa di dati personali e finanziari potenzialmente esposti; le diverse ricostruzioni pubblicate indicano circa 680 persone, mentre nelle prime comunicazioni Revolut non aveva reso pubblico il numero complessivo degli interessati. L’indagine dovrà ora chiarire l’origine della compromissione, l’eventuale coinvolgimento di altre caselle istituzionali e l’esatta quantità di informazioni trasferite. Restano inoltre da accertare, sul piano investigativo, le responsabilità individuali legate all’accesso e all’utilizzo della casella.
