Il caso Revolut, che ha confermato di aver consegnato dati sensibili di clienti a soggetti che si spacciavano per un’autorità governativa, illustra con chiarezza l’evoluzione delle minacce cyber contemporanee. Per gli attaccanti non è stato necessario violare i sistemi o le infrastrutture della fintech, è bastato riuscire a sembrare un interlocutore legittimo di cui l’organizzazione si fidava.
Il punto centrale della vicenda è che le richieste fraudolente provenivano da domini governativi reali e autentici e ciò dimostra quanto sia ormai riduttivo considerare la sicurezza dell’email una semplice questione di autenticazione del mittente. È un esempio concreto di come spoofing, impersonification, phishing e Business Email Compromise (BEC) siano sfaccettature del medesimo problema: la manipolazione della fiducia. E le conseguenze sono enormi: secondo l’ultimo Cost of a Data Breach Report di IBM, il costo medio globale di una violazione dei dati ha raggiunto la cifra record di 4,99 milioni di dollari per singolo incidente, mentre il report Data Loss Landscape di Proofpoint rivela che oltre l’85% delle aziende ammette di aver subito almeno un episodio di fuga o perdita di dati sensibili nell’ultimo anno.”
I dati di Proofpoint confermano che non si tratta di un fenomeno isolato. Nel report Voice of the CISO, nel 2025 il 37% dei responsabili della sicurezza indicava la frode via mail tra le principali minacce per le proprie organizzazioni. Nel 2026, ben il 79% dei CISO identifica il fattore umano e il comportamento degli utenti come la principale vulnerabilità aziendale. Non solo: la telemetria comportamentale di Proofpoint mostra come appena l’1% degli utenti aziendali sia all’origine di oltre il 76% degli alert di Data Loss Prevention, a dimostrazione di come l’impatto delle azioni umane sia altamente concentrato ma devastante. A questo scenario si aggiunge l’utilizzo crescente della Generative AI da parte dei criminali, che rende i messaggi di ingegneria sociale sempre più raffinati, privi dei tradizionali segnali di allarme e difficili da riconoscere a prima vista.
La vicenda Revolut evidenzia come proteggere i domini con protocolli come SPF, DKIM e DMARC, per quanto fondamentale per prevenire il phishing diretto, non sia più sufficiente. DMARC attesta la provenienza tecnica del messaggio, ma non garantisce l’intento dell’interlocutore, qualora una casella governativa o istituzionale sia stata compromessa a monte. Diventa quindi indispensabile analizzare il contesto della richiesta, la coerenza delle azioni sollecitate e l’identità effettiva del mittente. In altre parole, la cybersecurity deve evolversi per proteggere non solo i sistemi e le identità digitali, ma anche i processi decisionali delle persone.
È questa la vera sfida per CIO e CISO: distinguere ciò che è tecnicamente autentico da ciò che è realmente legittimo. Nel cybercrime moderno, un’email può essere formale e valida sotto il profilo informatico ma far parte, al contempo, di un attacco sofisticato. E quando la fiducia diventa il bersaglio principale, anche l’architettura tecnica meglio protetta rischia di rimanere vulnerabile.
