Caso Revolut: ora il cavallo di Troia viaggia via Pec di stato

Per svaligiare una banca europea nel 2026 basta un indirizzo pec che finisca in “gov.it”. Un gruppo di hacker se n’è procurato uno autentico e lo ha usato per chiedere a Revolut i dati di alcuni clienti. La banca ha controllato il mittente e ha inviato documenti, fotografie, conti e criptovalute. Circa 680 clienti, secondo il Financial Times. Nessuna intrusione, nessun euro sottratto: un adempimento eseguito con diligenza. I controlli anti-contraffazione avevano funzionato per la ragione più imbarazzante: non c’era nulla da contraffare. Il messaggio era autentico. La posta certificata ha certificato la consegna di un furto.

Conviene distinguere ciò che è accertato da ciò che è rivendicato. E’ confermato che i dati sono usciti su richiesta da un dominio pubblico reale. E’ una rivendicazione dell’attaccante, “IAmNotAVillain”, l’accesso per sei mesi a sistemi riconducibili alle forze dell’ordine italiane e il possesso di 147 gigabyte di materiale. Ma il fatto resta: una casella pubblica ha potuto ordinare a un intermediario finanziario di consegnare il dossier identitario dei propri clienti, e l’intermediario ha obbedito perché la legge glielo impone.

Qui sta il punto economico e istituzionale. Per un soggetto vigilato la cooperazione con l’autorità non è una scelta: è un obbligo . L’attaccante non ha aggirato quell’obbligo, lo ha monetizzato. Più si rafforza il dovere di collaborare in fretta, più cresce la superficie d’attacco. La conformità smette di essere uno scudo e diventa un moltiplicatore dei rischi. Ogni operatore scopre di avere un punto unico di rottura fuori dal proprio perimetro: la credibilità della richiesta pubblica.

C’è una seconda asimmetria. Il dossier non è stato accumulato per iniziativa commerciale, ma perché il regolatore lo impone. Documento, mappa patrimoniale, transazioni: il Kyc costruisce il fascicolo identitario più prezioso per una banca. Ma chi impone l’obbligo di raccolta non sopporta il rischio della fuga. Il costo grava sull’intermediario, la responsabilità civile pure, il danno sul cittadino, che ha già ricevuto le prime richieste estorsive. L’autorità che ha imposto l’accumulo e la cui casella sarebbe stata il vettore della violazione genera così un’esternalità negativa: scarica sul vigilato le conseguenze della propria vulnerabilità.

L’asimmetria di responsabilità produce un’asimmetria di investimento. Revolut rischia istruttorie, sanzioni e danni reputazionali: investirà in verifica perché le conviene. L’ufficio pubblico la cui identità digitale è stata indossata non rischia nulla: continuerà a investire poco. Finché la bardatura dello stato varrà come lasciapassare senza che lo stato risponda di come la custodisce, il travestimento resterà tra i più economici sul mercato del crimine. La beffa è che l’Italia sta introducendo con la legge sull’AI, un reato di pericolo per chi omette misure di sicurezza nei sistemi informatici avanzati. Una norma severa verso il direttore di stabilimento della pmi, ma muta verso l’autorità dalla cui Pec possono partire messaggi hackerati. Il pan-penalismo tecnologico punisce le aziende a valle e assolve le autorità a monte.

I rimedi sono noiosi e poco costosi. Verifica fuori banda obbligatoria per ogni richiesta di dati identitari: si richiama l’ufficio su un recapito ufficiale prima di allegare documenti. Firma crittografica personale del funzionario, con chiavi revocabili, perché la casella certifica l’ufficio ma non chi preme invio. Monitoraggio delle anomalie sui volumi in uscita. Diritto dell’intermediario di sospendere e verificare senza sanzioni per ritardo: la legge premia chi risponde in fretta, non chi risponde bene. E una simmetria elementare di responsabilità: se il canale pubblico è il vettore, parte del costo spetta al titolare del canale. Infine trasparenza: pubblicare quante richieste di dati ciascuna autorità invia.

Nel racconto omerico i troiani dovettero almeno trainare il cavallo dentro la città. Qui non è servito neppure quello. Le mura hanno spedito la chiave via Pec, con ricevuta di consegna e valore legale. E i cittadini scopriranno che i loro dati non sono stati soltanto rubati: sono stati scortati fuori, usando le mostrine applicate sugli strumenti che avrebbero dovuto proteggerli.