Conti correnti e banche: i recenti casi dimostrano significativi rischi nella sicurezza dei depositi

La sicurezza bancaria ritorna al centro dell'attenzione. Revolut ha comunicato nel settembre 2026 che una parte limitata dei dati dei clienti è stata trasmessa a un soggetto non autorizzato dopo una richiesta apparentemente proveniente dal dominio email autentico di un'agenzia governativa. Tra le informazioni coinvolte potevano esserci copie di passaporti e patenti, selfie impiegati per la verifica dell'identità, indirizzi, IBAN, estratti conto e cronologie complete delle transazioni, incluse quelle in criptovalute. I fondi dei clienti e i sistemi principali della società non risultavano compromessi. Il conto, quindi, poteva restare intatto mentre la sua identità finanziaria veniva esposta.

Non è detto che l'episodio abbia avuto origine da un'intrusione nei server bancari. Il punto vulnerabile sarebbe stato il procedimento con cui un intermediario esamina e autorizza le richieste di informazioni presentate da soggetti istituzionali. Un indirizzo reale, oppure in grado di superare i controlli tecnici associati al dominio, ha reso credibile una richiesta falsa.

Le conseguenze possibili vanno oltre la sottrazione immediata di denaro. Dati autentici possono alimentare furti d'identità, aperture di rapporti finanziari, ricatti, campagne di phishing mirato e frodi successive, costruite su informazioni che il destinatario riconosce come vere.

La sicurezza bancaria non copre ogni processo di fiducia

Per molto tempo la protezione del conto corrente è stata ricondotta soprattutto a password, antivirus, cifratura, autenticazione a due fattori e difesa dei sistemi informatici. Sono barriere necessarie, ma non presidiano ogni passaggio della catena operativa.

Chi vuole truffare non deve per forza violare direttamente l'infrastruttura della banca. Può puntare sulla persona che autorizza un'operazione, amministra una casella email, risponde al telefono oppure valuta una richiesta presentata come urgente. Anche l'operatore può finire per considerare autentica una comunicazione preparata con sufficiente attenzione.

La manipolazione del cliente segue una logica diversa da quella dell'hacking tradizionale. Il criminale non ha sempre bisogno di scoprire una password. Gli basta, per esempio, persuadere il titolare a disporre un bonifico, comunicare un codice, installare un'applicazione per il controllo remoto o confermare un'operazione che crede legittima.

A quel punto la transazione può apparire regolare sotto ogni profilo tecnico: arriva da un dispositivo conosciuto, segue la procedura prevista e viene autorizzata dal cliente. I sistemi registrano un comportamento compatibile con le regole. L'intenzione reale, però, è stata modificata dall'inganno.

Intesa Sanpaolo è stata multata per oltre 17 milioni di euro

Il secondo caso riguarda Intesa Sanpaolo, la prima banca italiana per dimensioni, guidata dal CEO Carlo Messina. A marzo 2026 il Garante della Privacy ha inflitto una sanzione di 17.628.000 euro dopo aver accertato "gravi violazioni" nel trasferimento dei dati di circa 2,4 milioni di correntisti alla controllata digitale Isybank, lanciata nel 2023.

Secondo l'Autorità, la banca ha profilato la propria clientela per decidere chi trasferire a Isybank senza un'idonea base giuridica, un comportamento che ha esposto milioni di clienti a un trattamento dei propri dati non conforme alle regole sulla protezione della privacy. Questo caso mostra che la vulnerabilità dei conti correnti non riguarda soltanto gli attacchi esterni di hacker e truffatori, ma può nascere anche dall'interno, quando è la stessa banca a maneggiare in modo scorretto le informazioni dei propri correntisti.

Tinaba e Banca Profilo sono finite nel mirino

Il terzo caso, datato febbraio 2026, riguarda Tinaba, il conto digitale sviluppato in collaborazione con Banca Profilo. I due marchi sono stati sfruttati da una campagna di phishing che riproduceva fedelmente le comunicazioni ufficiali dell'istituto, invitando i clienti a una "verifica identità" urgente tramite un link che conduceva a un sito clone del login originale.

Il caso è significativo non tanto per la tecnica in sé, ormai nota da anni, quanto per la sistematicità con cui i criminali ruotano il marchio bersaglio, colpendo nel tempo PostePay, Nexi, Intesa Sanpaolo, Unicredit, Hype, Wise e la stessa Revolut, semplicemente cambiando logo e colori del template fraudolento. Il fatto che lo stesso schema, sostanzialmente identico da anni, continui a funzionare contro istituti diversi dimostra che il punto debole non è tanto la sicurezza tecnica di una singola banca, quanto la capacità dell'intero settore di educare i propri clienti a riconoscere comunicazioni fraudolente sempre più curate nei dettagli grafici e testuali.

Le frodi retail dipendono sempre più dalla manipolazione

Il Rapporto CERTFin 2026, realizzato dal consorzio italiano che riunisce operatori bancari e soggetti della sicurezza finanziaria, descrive con numeri precisi questo cambiamento. Nel campione esaminato, l'81% delle frodi retail effettive nasce da un'attività di manipolazione del cliente. Il 96% delle operazioni fraudolente, poi, risulta autorizzato con Strong Customer Authentication, cioè attraverso un processo di autenticazione forte completato regolarmente.

Quel dato non rende inutile l'autenticazione forte. Indica piuttosto che il controllo prova chi ha completato la procedura, non chi ha ideato l'inganno né quale fosse la destinazione effettiva del denaro. Se il cliente conferma un trasferimento verso un falso consulente, la SCA può funzionare senza errori e non riconoscere la truffa:

La percentuale dei tentativi trasformati in frode effettiva arriva al 17%. Nello stesso periodo, le somme recuperate grazie alla collaborazione tra prestatori di servizi di pagamento passano da 23 a 35 milioni di euro.

Il recupero, però, non equivale alla prevenzione. Bloccare una somma prima che venga accreditata è diverso dal tentare di rintracciare un trasferimento già passato attraverso più conti.

Social network e messaggistica al posto di una parte degli SMS

È cambiato anche il modo in cui i truffatori raggiungono le vittime. Telefonate e SMS continuano a essere impiegati, ma rappresentano il 46% degli inneschi rilevati dal CERTFin 2026, contro l'87,5% del 2023. Una quota crescente dei contatti passa dai social network e dalle applicazioni di messaggistica istantanea, ambienti in cui lo scambio può sembrare personale e meno riconducibile a una campagna fraudolenta rivolta a molti destinatari.

Il falso investimento è la leva di social engineering più frequente e riguarda il 36% degli eventi rilevati. Il contatto può iniziare con un annuncio sui social, spostarsi in una conversazione privata e approdare a una piattaforma che visualizza guadagni simulati. In altri casi, il truffatore assume il ruolo di consulente, funzionario di banca o operatore di una società conosciuta.

La presenza di dati personali rende la conversazione più convincente. Un documento d'identità, un selfie, un numero di telefono, un IBAN o una cronologia di spesa consentono di porre domande precise e di ridurre il sospetto iniziale. Per questo una violazione informativa può produrre effetti anche quando nessun denaro viene sottratto subito.

Un'indagine riferita al 2024 ha stimato in oltre 2 milioni gli italiani vittime di truffe collegate a conti correnti e strumenti digitali, con un danno complessivo superiore a 970 milioni di euro. La stima deriva da un'indagine campionaria; non è quindi un conteggio completo delle denunce né delle sole operazioni bancarie certificate.

Il numero resta utile per misurare l'ampiezza economica percepita del fenomeno. Le statistiche istituzionali sui pagamenti, però, adottano perimetri differenti e non sono direttamente sovrapponibili a quel risultato.

Banche, DORA e investimenti contro le frodi

Gli intermediari stanno destinando più risorse al monitoraggio, alla gestione delle identità, all'analisi dei comportamenti e ai sistemi antifrode. Nel settore finanziario europeo, il Digital Operational Resilience Act è applicabile dal 17 gennaio 2025 e ha rafforzato gli obblighi relativi alla resilienza operativa digitale, alla gestione degli incidenti, ai fornitori tecnologici e ai test dei sistemi.

DORA non impedisce che un dipendente o un cliente venga tratto in inganno. Allarga però il campo della sicurezza oltre il singolo attacco informatico: rientrano nella valutazione la continuità operativa, le dipendenze dalla catena di fornitura e la capacità di reagire a eventi che coinvolgono soggetti esterni.

Il caso Revolut si colloca proprio su questo terreno. Una procedura legittima e una casella email considerata affidabile possono diventare il punto debole, anche senza una violazione diretta del conto.

Nel 2026 la Banca d'Italia ha richiamato gli intermediari alla necessità di rafforzare i presidi di sicurezza anche davanti all'uso di modelli avanzati di intelligenza artificiale. Questi sistemi possono confrontare orari, dispositivi, localizzazione, importi, beneficiari e abitudini di spesa. Possono riconoscere sequenze anomale che sfuggono a controlli fondati soltanto su soglie fisse.

Resta un problema pratico. Un sistema troppo sensibile rischia di bloccare anche operazioni lecite, impedendo pagamenti urgenti, creando difficoltà a famiglie e imprese e aumentando le richieste al servizio clienti. Un sistema meno severo lascia passare un numero maggiore di operazioni sospette.

La protezione richiede perciò un compromesso tra blocco automatico, verifica umana e rapidità nel ripristinare il servizio. Non esiste una soglia tecnica capace di eliminare ogni errore.

• Conti correnti e banche: i recenti casi dimostrano significativi rischi nella sicurezza dei depositi
• Trova libretto BNL del 1985 nel corredo di nozze dopo 41 anni che vale 500mila euro: ora la sfida con la banca
• Perchè è meglio far debiti con il fisco che con banche e finanziarie e si rischia molto meno pignoramento dopo riforma riscossione