Man in the Mail: la truffa dietro il caso Revolut e come proteggere la tua azienda
Il 12 settembre 2026 Revolut ha confermato di aver consegnato i dati di circa 680 clienti a criminali informatici, dopo aver ricevuto richieste apparentemente legittime provenienti da un account di posta elettronica certificata del Ministero dell'Interno italiano, compromesso mesi prima. Nessun sistema Revolut è stato violato: l'azienda ha risposto correttamente a una richiesta ufficiale che, in realtà, non lo era. È la tecnica nota come Man in the Mail, e riguarda ogni azienda che riceve richieste di dati via email, non solo le banche.
Cosa è successo davvero a Revolut
Il gruppo di cybercriminali che si fa chiamare IAmNotAVillain ha rivendicato l'attacco spiegando che l'operazione è durata circa sei mesi. Il punto di ingresso sarebbe stato un infostealer che ha permesso di sottrarre le credenziali di un dipendente pubblico, dando accesso a una casella di PEC del Ministero dell'Interno, dominio pec.interno.it. Da quell'indirizzo è partita una richiesta formale di dati, motivata da un'indagine attribuita alla Procura di Milano e in realtà inesistente. Revolut, di fronte a una richiesta arrivata da un canale istituzionale autentico, ha fornito passaporti, indirizzi, estremi di conto e cronologia operazioni, prima di accorgersi dell'anomalia contattando direttamente l'ente italiano, che ha smentito di aver mai inviato quei messaggi.
Perché questa truffa non riguarda solo le banche
Il caso Revolut fa notizia per la scala e per il coinvolgimento di un ente statale, ma il meccanismo di fondo è lo stesso che da anni colpisce le PMI italiane, soprattutto quelle che lavorano con l'estero: qualcuno si impossessa di una casella email legittima, aspetta il momento giusto e chiede qualcosa che sembra normale, un pagamento, un documento, un dato personale. Cambia solo il travestimento. Se in ambito import export il Man in the Mail punta a dirottare un bonifico su una fattura, nel caso Revolut ha puntato a dati personali usando la credibilità di un ente pubblico. Per un'azienda italiana la domanda corretta non è se riceverà mai una richiesta del genere, ma se saprebbe riconoscerla in tempo.
Anatomia tecnica dell'attacco: dall'infostealer al Man in the Mail
Per capire perché un attacco come questo aggira quasi tutti i controlli standard bisogna partire da cosa fa davvero un infostealer. Non si limita a leggere la password salvata nel browser: raccoglie in blocco credenziali, cronologia di navigazione, cookie e token di sessione, e li rivende in pacchetti detti stealer log su mercati criminali specializzati, secondo il modello Malware-as-a-Service. Il punto tecnico più critico è che un token di sessione rubato rappresenta un'autenticazione già completata: se l'attaccante lo riutilizza da un nuovo contesto e l'applicazione lo accetta, non deve conoscere la password né ripetere il secondo fattore, perché la sessione è già valida. È il motivo per cui il solo MFA basato su SMS o codice temporaneo non basta a fermare ogni scenario, mentre resta efficace bloccare l'attacco a monte, sulla compromissione del dispositivo.
Secondo il primo report istituzionale italiano dedicato agli infostealer, pubblicato dall'Agenzia per la Cybersicurezza Nazionale a febbraio 2026, solo nel 2025 il malware LummaC2 ha sottratto oltre 940.000 credenziali riconducibili a soggetti italiani, RedLine Stealer circa 634.000 e DcRat circa 470.000. Nei report operativi di gennaio e febbraio 2026 il vettore di compromissione iniziale più ricorrente, in entrambi i mesi, è stato lo stesso: l'uso di credenziali valide sottratte in precedenza, non una vulnerabilità tecnica sfruttata al momento. È un dato coerente con la stima dell'ENISA, secondo cui gli infostealer sono all'origine di oltre il 50% degli attacchi ransomware, e con il Rapporto Clusit 2026, che registra 507 incidenti informatici gravi in Italia nel 2025, il 42% in più rispetto al 2024, con phishing e social engineering cresciuti del 75%.
Il motivo per cui i controlli perimetrali classici non intercettano un attacco Man in the Mail sta proprio qui: SPF, DKIM e DMARC verificano che un messaggio provenga davvero dal dominio dichiarato, non se il mittente autorizzato ad agire su quel dominio è stato compromesso. Nel caso Revolut l'email arrivava letteralmente dal dominio autentico pec.interno.it: nessun controllo di autenticazione email, per quanto configurato correttamente, avrebbe potuto segnalarlo come anomalo, perché tecnicamente non lo era. Lo stesso vale per i filtri antispam basati su reputazione del mittente.
Perché riguarda anche il CdA, non solo l'IT
Un errore comune è trattare il Man in the Mail come un problema tecnico da delegare interamente al reparto IT. Per un CEO o un consigliere di amministrazione la prospettiva corretta è diversa: si tratta di un rischio di governance, con impatti diretti su continuità operativa, reputazione ed esposizione economica. Il D.Lgs. 231/2001, all'articolo 24-bis, include i reati informatici tra i presupposti della responsabilità amministrativa dell'ente: un'azienda priva di un modello organizzativo adeguato a prevenire questo tipo di rischio può rispondere anche a livello di persona giuridica, non solo il singolo dipendente coinvolto. A questo si somma il principio di accountability dell'articolo 24 del GDPR, che chiede al titolare del trattamento, quindi in ultima istanza al vertice aziendale, di poter dimostrare di aver valutato il rischio e adottato misure adeguate prima che accada un incidente, non dopo. Per un consiglio di amministrazione, la domanda utile non è "abbiamo un antivirus", ma "sappiamo dimostrare, con evidenze, che come organizzazione ci siamo posti il problema".
Come proteggere la tua azienda: controlli di base e avanzati
Le contromisure indicate dall'ACN contro gli infostealer restano il punto di partenza, ma per un'azienda strutturata vanno affiancate da controlli più maturi, pensati per il caso in cui la compromissione sia già avvenuta a monte, fuori dal proprio perimetro diretto.
Checklist essenziale
- Autenticazione a più fattori (MFA) attiva su ogni account, in particolare su posta elettronica e PEC.
- Verifica indipendente di ogni richiesta inattesa o fuori dall'ordinario, chiamando un recapito noto e non quello indicato nella comunicazione ricevuta.
- Aggiornamenti e patch installati appena disponibili su sistemi e dispositivi.
- Password manager dedicato al posto del salvataggio automatico nel browser.
- Formazione periodica del personale, con simulazioni realistiche di phishing.
- Procedura di gestione del data breach già definita, da attivare senza esitazioni se qualcosa non torna.
Controlli avanzati, per chi vuole andare oltre la checklist di base
Non tutte le forme di MFA offrono lo stesso livello di protezione. Un MFA resistente al phishing, basato su standard FIDO2 o su passkey, riduce drasticamente il rischio rispetto a un codice via SMS o a un'app OTP, che restano vulnerabili al furto del token di sessione da parte di un infostealer. Vanno poi monitorate le regole di inoltro automatico create sulle caselle di posta aziendali, perché sono uno degli indicatori più affidabili di una compromissione in corso, insieme ad accessi da posizioni geografiche incoerenti tra loro in tempi troppo ravvicinati. Un EDR aggiornato sui dispositivi aziendali resta la difesa più efficace contro l'infostealer stesso, prima ancora che le credenziali vengano sottratte, mentre il monitoraggio del dark web per credenziali aziendali già in circolazione permette di intervenire prima che vengano effettivamente usate.
| Segnale di allarme | Cosa fare |
|---|---|
| Richiesta urgente di dati o pagamenti via email | Verificare telefonicamente su un numero già noto, mai su quello indicato nel messaggio |
| Cambio improvviso di IBAN o riferimenti | Confermare con il mittente reale tramite un canale diverso da quello usato per la richiesta |
| Mittente istituzionale ma tono insolito | Contattare direttamente l'ente tramite i suoi canali ufficiali pubblici |
| Link o allegati in messaggi non attesi | Non aprirli, segnalarli all'IT interno o al proprio fornitore di sicurezza |
Domande frequenti su Google
Il Man in the Mail è la stessa cosa del phishing?
No: il phishing punta a rubare credenziali con un messaggio falso, il Man in the Mail sfrutta credenziali già rubate per inserirsi in una conversazione email reale e proseguirla fingendosi il legittimo titolare.
Come faccio a sapere se la mia azienda è già stata colpita?
I segnali più comuni sono richieste di pagamento o di dati che nessuno in azienda ha effettivamente inviato, regole di inoltro sospette nella casella di posta, o segnalazioni da parte di clienti e fornitori su comunicazioni mai partite da voi.
Domande frequenti
Cos'è nel dettaglio la tecnica Man in the Mail?
Perché Revolut ha fornito i dati senza controlli più approfonditi?
La mia azienda rischia qualcosa di simile anche se non è una banca?
Cosa devo fare per primo se sospetto un attacco simile?
Se ho attivato l'MFA sono al sicuro anche da questo tipo di attacco?
Il CdA può essere chiamato in causa personalmente per un incidente come questo?
La tua azienda saprebbe riconoscere una richiesta come questa?
Alchimie Digitali affianca CEO, consigli di amministrazione e management delle aziende di Modena e dell'Emilia-Romagna, comprese quelle che lavorano con l'estero, nella valutazione del rischio, nella formazione del personale e nella gestione dei data breach.
