Se pensi che un blackout informatico sia un problema “da grandi”, ieri è arrivata la smentita più clamorosa dell’anno. Revolut, una delle fintech più solide d’Europa, si è fermata per un’intera giornata. Nessun attacco, nessun hacker: un guasto a monte, fuori dal suo controllo.

E non è la prima volta che se ne parla in poche settimane.

Cosa è successo ieri

Martedì mattina, verso le 8, gli utenti di mezza Europa hanno aperto l’app e si sono trovati davanti a un muro. L’app non si apriva, i pagamenti venivano respinti e non era possibile consultare il saldo del conto. Impossibili anche bonifici, conversioni di valuta, accesso al sito, pagamenti con carta e prelievi agli sportelli. Su Downdetector le segnalazioni hanno superato quota 1.500 in un’ora.

La causa? Un’interruzione di rete nel data center di Google a Londra, che ha messo in difficoltà anche altre società britanniche. I sistemi sono tornati operativi solo in serata.

E c’è un dettaglio che fa riflettere: per almeno un’ora dall’inizio del down, il sito di Revolut ha continuato a dichiarare che i sistemi funzionavano regolarmente, mentre i clienti erano già bloccati alla cassa. Tradotto: anche chi ha le risorse di un colosso può farsi trovare impreparato nel momento più critico, quello della comunicazione.

Un mese fa, l’altra faccia del problema

Il down arriva su un terreno già scivoloso. Revolut era già finita sotto i riflettori per l’attacco hacker del mese scorso.

Anche lì, nessun sistema violato nel senso classico. Gli attaccanti hanno usato la casella istituzionale di una prefettura per ottenere dati sensibili di alcune centinaia di correntisti, firmandosi come Polizia Postale da un dominio interno.it e diluendo le richieste nell’arco di sei mesi. Hanno semplicemente sfruttato l’obbligo degli istituti finanziari di collaborare con le autorità nelle indagini.

Il risultato: indirizzi, selfie di verifica, documenti d’identità e attività in bitcoin di circa 680 clienti europei, almeno 15 dei quali italiani. Poi una richiesta di riscatto da 3 milioni di dollari e i dossier dei clienti pubblicati su Telegram, uno al giorno.

Nessun malware. Solo una richiesta credibile, da un mittente autentico, e un processo che ha risposto senza fare domande.

Il vero problema: ti fidi di cose che non controlli

Un attacco mirato e un guasto tecnico sembrano due storie diverse. Non lo sono. A settembre la fiducia cieca era in una PEC istituzionale. Ieri era in un unico fornitore cloud: Revolut usa Google Cloud sia per i servizi interni sia per quelli rivolti ai clienti. Quando quell’anello si è spezzato, si è fermato tutto.

Ora fai un esercizio: pensa alla tua azienda. Il gestionale, la posta, il cloud, il centralino, il fornitore che gestisce i backup. Quante di queste cose, se si fermassero domani per 12 ore, ti lascerebbero a braccia conserte?

Cosa significa davvero “essere pronti”

Mappare le dipendenze. Sapere quali fornitori sono critici e cosa succede se uno di loro si ferma è il primo passo. Non a caso normative come DORA e NIS2 insistono proprio su questo.

Verificare, sempre. Una richiesta “ufficiale” di dati, un’email urgente dal fornitore, un cambio IBAN improvviso: ogni processo sensibile deve prevedere un controllo indipendente, anche quando il mittente sembra autentico.

Preparare le persone. Il caso di settembre insegna che il social engineering non colpisce i sistemi, colpisce chi ci lavora. Un team formato riconosce la trappola prima che scatti.

Avere un piano per la crisi. Sapere chi fa cosa, come si comunica con clienti e partner e come si torna operativi. Improvvisare durante un’emergenza è il modo più rapido per trasformare un incidente in un danno reputazionale.

Meglio pensarci prima

La domanda non è se qualcosa andrà storto, ma come ti troverà quando succede. Se leggendo queste righe ti è venuto qualche dubbio, è il momento giusto per fare il punto.

In Audita affianchiamo enti e aziende su Data Protection, Information Security, Cyber Awareness, Cyber Defense e Digital Forensic, con un’idea semplice: la sicurezza è un processo continuo, non un progetto che si chiude.

Caso Revolut: quando l’attacco arriva via PEC

Dopo la vicenda Revolut, il Garante si è mosso in fretta. Il 18 settembre ha scritto alla rete dei DPO delle banche italiane chiedendo una verifica immediata: cercare nei propri sistemi comunicazioni anomale provenienti dalla stessa casella PEC usata nel tentativo di acquisizione illecita di dati, e segnalare eventuali casi analoghi. Se emergono, scattano le misure per contenere i danni e la notifica prevista dall’art. 33 del GDPR. L’Autorità ha coinvolto anche la sua omologa lituana — Revolut ha lì la sede principale — e il Ministero dell’Interno, mentre sugli accessi abusivi ai conti lavora già da mesi una task force con le banche.

Il punto che deve far riflettere è il canale. La PEC gode di una fiducia quasi istituzionale: ha valore legale, genera ricevute, “arriva da un indirizzo certificato”. Eppure la PEC certifica l’invio e la consegna di un messaggio tra due caselle, non l’identità di chi la sta usando né la legittimità di ciò che chiede. Una casella compromessa, o aperta con dati di comodo, produce messaggi formalmente impeccabili, con tutte le ricevute in regola. È lo stesso schema che abbiamo visto con il software firmato ma infetto: la garanzia su cui contiamo viene aggirata a monte.

Per chi riceve richieste di dati da autorità, studi legali o controparti, la lezione è spostare la fiducia dal “da dove arriva” al “come lo verifico”. Una richiamata a un recapito già noto, il controllo dell’indirizzo su INI-PEC o IPA, il confronto con lo storico delle comunicazioni sono passaggi minimi. E se la casella segnalata compare nei vostri log di posta, va cercata su tutto l’archivio, non solo sugli ultimi giorni. Ricordando che la notifica all’Autorità va fatta entro 72 ore dalla scoperta: la procedura di data breach deve esistere prima, non essere scritta durante l’emergenza.

Il GPS aziendale e il diritto di sapere

La Patria S.p.A., società di vigilanza di Bologna, è stata sanzionata per 39mila euro (provvedimento n. 585 del 6 agosto 2026). Tutto parte da un ex dipendente, licenziato, che chiede di vedere i dati raccolti dal GPS dell’auto aziendale a lui assegnata: gli servono per difendersi nella contestazione disciplinare. La risposta dell’azienda non arriva, o comunque non nella forma dovuta.

Il Garante ricorda un principio spesso sottovalutato: anche quando un titolare ritiene di non dover accogliere una richiesta di accesso, deve spiegare il motivo del diniego e indicare all’interessato che può rivolgersi al giudice o all’Autorità. Il silenzio non è un’opzione. A questo si aggiunge la mancanza di un’informativa sulla geolocalizzazione — richiamata persino nell’accordo sindacale ex art. 4 dello Statuto dei Lavoratori — e documenti che descrivevano trattamenti di dati particolari che l’azienda, in realtà, non faceva. La sanzione è stata contenuta proprio perché, durante l’istruttoria, la società ha corretto il tiro.

Dal punto di vista tecnico, il caso dice molto. I dati di una piattaforma di fleet management, quando il veicolo è assegnato a una persona, sono dati personali a tutti gli effetti, e quella persona ha diritto di ottenerli entro un mese. Questo presuppone di sapere in anticipo come estrarre lo storico di un singolo conducente (un export CSV o GPX, un report dalla piattaforma), per quanto tempo il fornitore conserva le posizioni, con quale frequenza le registra e chi può consultarle. Se per rispondere serve aprire un ticket al fornitore e attendere settimane, il problema non è la richiesta: è il contratto. E in un contenzioso di lavoro, quei dati diventano reperti che vanno estratti e conservati in modo da poterne dimostrare l’integrità.

Telecamere “di prova”: per il Garante non esistono

L’Istituto Nazionale di Ricerca Metrologica di Torino ha ricevuto una sanzione di 10mila euro (provvedimento n. 620 del 3 settembre 2026), dopo il reclamo di due dipendenti. L’impianto di videosorveglianza era nato per la sicurezza perimetrale e avrebbe dovuto inquadrare soltanto muri e recinzioni.

Nella realtà, le telecamere installate erano otto in più rispetto alla planimetria concordata con i sindacati, con posizioni e campi di ripresa diversi. In alcune giornate sono state accese durante l’orario d’ufficio, all’insaputa del personale, per verificarne il funzionamento. Mancavano l’informativa e la valutazione d’impatto prevista dall’art. 35 del GDPR. L’argomento difensivo — era solo un collaudo, non si registrava nulla — è stato respinto senza appello: una telecamera accesa che inquadra persone è già un trattamento.

Chi gestisce impianti di videosorveglianza dovrebbe leggere la planimetria allegata all’accordo sindacale per quello che è: una specifica di configurazione. Il confronto periodico tra l’inventario del sistema di gestione video (canali attivi, posizioni, ottiche) e la planimetria firmata, la verifica delle inquadrature reali con schermate datate, l’uso delle maschere privacy per escludere le aree non previste sono controlli semplici, ma raramente fatti. E i collaudi vanno pianificati fuori orario, oppure con cartelli e informativa già esposti. Ogni modifica all’impianto, anche una sola telecamera spostata, dovrebbe passare da un processo di change management che coinvolga il DPO.

Google, 403 milioni: la geolocalizzazione e il peso dell’Italia

La Data Protection Commission irlandese ha inflitto a Google una sanzione di 403 milioni di euro per l’uso dei dati di posizione raccolti attraverso le funzionalità “Web & App Activity” e “Location History”. Il Garante italiano ha partecipato come autorità interessata, attraverso il sistema IMI del meccanismo di cooperazione europeo, e la DPC ne ha accolto integralmente le osservazioni. È anche grazie a queste che la decisione finale riconosce la violazione del principio di correttezza, oltre a quelli di liceità e trasparenza, e tiene conto di durata e gravità delle violazioni, natura dei dati e misure correttive.

Per un’azienda italiana il messaggio è duplice. Avere lo stabilimento principale in un altro Paese UE non mette al riparo dal Garante: le autorità dei Paesi in cui si trovano gli utenti partecipano alla decisione e possono orientarla. E per chi integra SDK o servizi di terze parti che raccolgono la posizione, vale la regola di sempre: impostazioni predefinite e testi devono dire con chiarezza cosa viene registrato, e il “no” dell’utente deve fermare davvero la raccolta.

Rider e algoritmi: più trasparenza, ma senza doppie sanzioni

Il Garante ha espresso parere favorevole, con rilievi, sullo schema di decreto che recepisce la direttiva UE 2024/2831 sul lavoro mediante piattaforme digitali (parere n. 624 del 17 settembre 2026). L’obiettivo è condiviso: rendere più trasparente l’uso di intelligenza artificiale e sistemi automatizzati nella gestione dei lavoratori, a partire dai rider.

Il nodo è il coordinamento. Valutazione d’impatto, trasparenza degli algoritmi, supervisione umana e misure di sicurezza sono già obblighi del GDPR. Se il decreto li sanziona di nuovo tramite l’Ispettorato nazionale del lavoro, la stessa condotta rischia due procedimenti paralleli. Il Garante propone una clausola di assorbimento basata su specialità e proporzionalità, oppure un coordinamento tra i due procedimenti, e chiede regole più precise sulla condivisione di dati con le autorità pubbliche.

Per chi sviluppa o utilizza piattaforme di dispatching, la direzione è comunque chiara. Ogni decisione automatizzata che incide sul lavoratore — un’assegnazione, una valutazione, la sospensione di un account — dovrebbe lasciare una traccia: quali dati sono stati usati, quale versione del modello, quale esito e se c’è stata una revisione umana, da parte di chi e quando. Un log decisionale fatto bene serve sia alla valutazione d’impatto sia a rispondere al lavoratore che chiede spiegazioni.

Recupero crediti: la dignità del debitore passa anche dal dialer

È online la nuova edizione del vademecum “Privacy e recupero crediti”, pensato per agenzie, banche, finanziarie, società telefoniche ed energetiche. Il quadro è noto: il trattamento si fonda sul legittimo interesse del creditore e non richiede il consenso del debitore, mentre le contestazioni sull’esistenza o sull’importo del credito restano materia del giudice, dell’Antitrust o di Arera.

Restano vietate le pratiche che espongono il debitore agli altri: visite a casa o al lavoro che rivelano la sua situazione, avvisi affissi nell’androne, buste con la scritta “recupero crediti” in bella vista. Si può cercare il debitore anche sul posto di lavoro, purché non si faccia alcun cenno al debito. E il creditore deve controllare periodicamente come lavorano le agenzie esterne.

C’è un passaggio che riguarda direttamente la tecnologia: lo stop alle telefonate di sollecito preregistrate senza operatore, perché possono essere ascoltate da chiunque si trovi vicino al telefono. Per chi gestisce un contact center significa rivedere la configurazione del dialer, escludendo campagne IVR o messaggi automatici in segreteria che menzionino il debito. E vale la pena rileggere anche i modelli di SMS ed email e verificare da dove arrivano i dati usati per aggiornare le anagrafiche, che devono provenire da fonti pubbliche o terze autorizzate.

Cassazione: un’istruttoria lenta non è un’istruttoria chiusa

Con le sentenze n. 24861/2026 e n. 22791/2026 la Cassazione ha confermato due sanzioni del Garante: 20mila euro alla Società Editoriale Il Fatto S.p.A. e 2mila euro a Chiarelettere S.r.l., oggi incorporata in Garzanti. Un articolo, poi ripreso in un libro, conteneva informazioni che rendevano identificabili i figli di una persona coinvolta in una vicenda giudiziaria.

Il principio procedurale vale per chiunque riceva un reclamo. Il procedimento sul reclamo e quello sanzionatorio sono distinti: se il Garante supera il termine per decidere sul reclamo, previsto dall’art. 143 del Codice privacy, non perde il potere di sanzionare. Contano soltanto i termini della legge 689/1981 per la contestazione e la prescrizione di cinque anni. Nel merito, nomi, titolo di studio e professione dei figli andavano oltre ciò che era essenziale per raccontare i fatti. Tradotto: aspettare che un procedimento “si dimentichi” non è una strategia.

Cosa significa per te e per la tua azienda

Messe in fila, queste decisioni non chiedono nuova burocrazia. Chiedono di poter dimostrare, in qualsiasi momento, che i sistemi fanno ciò che i documenti dicono. Alcune verifiche concrete da cui partire:

• Prova a estrarre oggi i dati GPS, di accesso o di videosorveglianza di un singolo dipendente: se servono più di pochi giorni, il problema emergerà proprio quando arriverà una richiesta.
• Confronta l’inventario delle telecamere e le inquadrature reali con la planimetria dell’accordo sindacale.
• Cerca nei log di posta eventuali comunicazioni PEC anomale e definisci una verifica fuori banda per ogni richiesta di dati.
• Rileggi le informative: devono descrivere i trattamenti che fai davvero, né di più né di meno.
• Verifica che la procedura di data breach consenta di notificare l’Autorità entro 72 ore.

La protezione dei dati, come la sicurezza, non è un adempimento da archiviare ma un processo da mantenere nel tempo. La differenza tra una sanzione e un rischio evitato, quasi sempre, non è una tecnologia in più: è la capacità di sapere cosa fanno davvero i propri sistemi.

Come possiamo aiutarti

Audita affianca enti e aziende proprio nel punto in cui norma e tecnologia si incontrano. Sul fronte Data Protection verifichiamo informative, valutazioni d’impatto e procedure di data breach, confrontandole con ciò che i sistemi fanno davvero. Con i servizi di Cyber Defense testiamo la resistenza dei canali di comunicazione e dei processi. E quando un dato diventa prova, come lo storico di un GPS in un contenzioso di lavoro, la Digital Forensic ne garantisce estrazione, conservazione e integrità.

Se uno di questi punti vi riguarda, il team Audita può aiutarvi a trasformarlo in un controllo tecnico documentato.

Contattaci per un primo confronto: scrivi a info@audita.tech o chiama lo +39 0532 171 7488

Se pensi che la tua azienda sia “troppo piccola per interessare agli hacker”, i numeri raccontano una storia molto diversa. L’Italia, pur rappresentando meno dell’1% del PIL mondiale, subisce oltre il 10% degli attacchi informatici gravi a livello globale. Un’anomalia che gli esperti del settore chiamano ormai “l’assedio digitale italiano”.

E il 2026 non porta buone notizie.

I numeri che dovrebbero preoccuparti

Secondo il Global Threat Intelligence Report di Check Point Research, le imprese e le organizzazioni italiane registrano circa 2.400 attacchi cyber a settimana, con una crescita a doppia cifra rispetto alla media mondiale. Tradotto: praticamente un attacco ogni cinque minuti, secondo l’ultima indagine di Tinexta Cyber.

I settori più colpiti restano quelli prevedibili — sanità, pubblica amministrazione, comparto finanziario — ma nessuno può più considerarsi al riparo. Il report Yarix 2026 segnala un aumento del ransomware del 51% nel solo 2025, con l’Emilia-Romagna tra le regioni più colpite in Italia.

Il vero problema: gli attacchi non li fanno più (solo) gli umani

Qui arriva la parte che cambia le regole del gioco. Fino a poco tempo fa, un attacco informatico richiedeva tempo, pianificazione, un margine di errore umano che spesso permetteva di individuarlo in tempo.

Nel 2026 questo scenario sta saltando. Gli analisti parlano apertamente di attacchi informatici autonomi guidati dall’intelligenza artificiale: sistemi capaci di testare le vulnerabilità di un’organizzazione, imparare dai fallimenti e colpire con una velocità e una precisione che nessun team di sicurezza tradizionale riesce a inseguire.

Non è più una questione di “quanti” attacchi arrivano, ma di quanto sono difficili da distinguere da un’attività legittima. Il divario tra la velocità dell’attacco e quella della difesa si sta allargando — e chi si affida ancora a modelli puramente reattivi rischia di scoprirlo nel modo peggiore.

Perché la tua azienda è più esposta di quanto pensi

Tre fattori si stanno combinando in modo pericoloso per le imprese italiane:

• Superficie d’attacco in crescita: più digitalizzazione, più cloud, più dispositivi connessi significano più porte da proteggere.
• Pressione geopolitica: campagne hacktiviste e spionaggio industriale non risparmiano nemmeno realtà che non si considerano “bersagli sensibili”.
• Automazione offensiva: strumenti di attacco basati su AI abbassano la barriera d’ingresso anche per attori meno sofisticati, moltiplicando il numero di soggetti in grado di colpire.

Il risultato? Le organizzazioni che si affidano a checklist di compliance fatte una tantum, o a un firewall configurato anni fa e mai più rivisto, stanno giocando una partita già persa in partenza.

Cosa significa davvero “essere pronti” oggi

Difendersi nel 2026 non è più solo una questione tecnica: è un processo continuo che deve tenere insieme più livelli.

Protezione dei dati. Il rispetto del GDPR non è un adempimento burocratico da archiviare, ma la base su cui costruire la fiducia di clienti e partner — ed è spesso il primo elemento che un attacco va a colpire.

Sicurezza dei processi. Una certificazione come la ISO 27001 costringe l’organizzazione a ragionare per processi e non per singoli strumenti, l’unico approccio che regge di fronte a minacce che si evolvono più velocemente delle policy aziendali.

Testing reale, non teorico. Sapere dove sono le proprie vulnerabilità prima che lo scopra un attaccante è l’unica differenza tra un incidente gestito e un disastro reputazionale.

Consapevolezza delle persone. La maggior parte delle violazioni parte ancora da un errore umano: un clic, una password debole, un allegato aperto senza pensarci. Nessuna tecnologia sostituisce un team formato a riconoscere il rischio.

Capacità di reagire quando serve. Quando l’incidente accade — e prima o poi accade — la capacità di ricostruire cosa è successo, con metodo e valore probatorio, fa la differenza tra subire il danno e poterlo contenere.

Il momento di agire è prima, non dopo

Le aziende che oggi si stanno strutturando seriamente su questi fronti non lo fanno per moda: lo fanno perché hanno capito che la domanda non è più “ci attaccheranno?” ma “quando ci attaccheranno, saremo pronti?”.

Audita affianca enti e aziende su tutti questi fronti — Data Protection, Information Security, Cyber Awareness, Cyber Defense e Digital Forensic — con un approccio che unisce competenza tecnica e visione strategica, perché la sicurezza delle informazioni non è un progetto con una fine, ma un processo continuo.

Non aspettare di diventare un altro numero nelle statistiche. Contatta Audita per una valutazione della postura di sicurezza della tua organizzazione.

PagoPA – la truffa della «multa da pagare»

«Se guardi a lungo nell’abisso, anche l’abisso ti guarda dentro.»

— Friedrich Nietzsche

Vale lo stesso in rete. Se tu sei connesso, il mondo è connesso a te: e una minaccia che sembra riguardare “qualcun altro”, prima o poi, bussa alla porta di chiunque. La nuova truffa SEND lo dimostra bene.

Arriva un SMS. Sembra il tuo Comune, parla di una multa, ti invita a verificare. Tutto normale — se non fosse una truffa costruita per sembrare reale in ogni dettaglio. A lanciare l’allarme sono l’Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia: una campagna di phishing via SMS che sfrutta il nome del Servizio Notifiche Digitali (SEND) e di pagoPA per far pagare sanzioni inesistenti e rubare i dati della carta.

 

Quando il phishing diventa “amministrativo”

Il messaggio segnala una presunta violazione del Codice della Strada legata alla tua targa e invita a consultare i dettagli tramite un link. Cliccando, si apre una pagina che riproduce un portale istituzionale, completa di logo SEND e dei riferimenti grafici di pagoPA. Vederli abbassa di colpo la diffidenza: sono piattaforme che la Pubblica Amministrazione usa davvero.

Da lì lo schema è guidato passo dopo passo: inserisci la targa, compare un verbale con velocità rilevata, data, importo e spese di notifica. Tutto “torna”. Ed è proprio questa coerenza a disinnescare i sospetti.

E’ questa cari lettori è l’arte dell’ingegneria sociale, nata al tempo dai sofisti e mai invecchiata fino a giorni nostri. L’arte che ci permette di influire sul comportamento altrui.

Il dettaglio che abbatte le difese: l’importo “giusto”

Nel caso analizzato dal CSIRT la cifra richiesta è di circa 44,40 euro, con tanto di “sconto” per il pagamento rapido. Non abbastanza alta da insospettire, non così bassa da sembrare irrilevante: plausibile. E lo sconto aggiunge l’urgenza che spinge a chiudere subito. La decisione diventa quasi automatica — ed è lì che la trappola scatta.

Prima il dato, poi il denaro

Prima del pagamento il sito raccoglie nome, indirizzo e contatti; solo alla fine chiede i dati della carta. Non è quindi la sola frode del momento: come avverte l’ACN, l’inserimento può portare a transazioni non autorizzate e al riuso dei dati su altre reti fraudolente. L’impatto non si esaurisce con quei 44 euro.

Perché funziona: non è un problema di sistemi

Questo attacco non sfrutta una falla informatica, ma la fiducia delle persone: la familiarità con i servizi digitali, la credibilità di marchi noti, una messa in scena senza le solite anomalie. Quando una frode diventa indistinguibile da un processo legittimo, il margine d’errore si riduce per chiunque — anche per chi si crede attento.

Anche perché, ed è bene ricordarlo, il phishing non punta agli stupidi ma si concentra su quell’attimo di disattenzione, che può capitare a chiunque.

Non hackerano i sistemi: hackerano le persone.

I segnali e come difendersi

Fermati un istante se noti uno di questi elementi:

• Un link per “verificare” o “pagare” ricevuto via SMS o e-mail, soprattutto se non atteso.
• La richiesta di inserire la targa o dati personali per vedere una sanzione.
• Un importo basso con sconto immediato che mette fretta.
• Un indirizzo web simile ma non identico ai domini ufficiali.

E ricorda il principio chiave: SEND non funziona così. Comunica solo tramite l’App IO, una PEC intestata al destinatario, i contatti della tua area personale o la posta cartacea — mai con un link che chiede la carta. Nel dubbio, non cliccare e verifica accedendo direttamente ai canali ufficiali.

Il fattore umano resta il primo bersaglio.

In Audita aiutiamo enti e aziende a rendere le persone parte attiva della sicurezza, con percorsi di Cyber Awareness e servizi di Cyber Defense. Scopri i nostri servizi.