Revolut in tilt per ore: quando il cloud blocca i tuoi soldi, chi risponde dei danni?

Martedì 20 ottobre 2026, una delle banche digitali più conosciute al mondo ha improvvisamente smesso di garantire il normale funzionamento di numerosi servizi. Migliaia di segnalazioni hanno iniziato a comparire online: utenti impossibilitati ad accedere al proprio conto, pagamenti con carta rifiutati, bonifici bloccati e difficoltà nel prelevare contanti. Per molti clienti di Revolut, un'applicazione utilizzata quotidianamente per gestire il proprio denaro si è trasformata, nel giro di poche ore, in uno strumento quasi inutilizzabile. Il disservizio non ha riguardato esclusivamente l'accesso all'applicazione, ma anche operazioni finanziarie essenziali, tra cui trasferimenti di denaro, cambio valuta, servizi legati alle criptovalute e investimenti. Revolut ha riconosciuto pubblicamente l'interruzione, rassicurando i clienti sulla sicurezza dei fondi depositati e dei dati personali, ma senza riuscire a garantire un ripristino immediato dell'operatività. L'aspetto più significativo è che il problema non sarebbe nato direttamente all'interno della banca. All'origine dell'incidente è stato individuato un guasto all'infrastruttura di Google Cloud, uno dei maggiori fornitori mondiali di servizi informatici. La vicenda ha così assunto dimensioni ben più ampie rispetto a un semplice malfunzionamento bancario: un problema localizzato in un centro tecnologico londinese è riuscito a compromettere servizi finanziari e pubblici utilizzati da persone e imprese in diversi Paesi. Per comprendere la portata dell'accaduto occorre partire da una domanda fondamentale: come può un guasto esterno impedire a milioni di potenziali utenti di utilizzare normalmente il proprio denaro? 

OTTO ORE DI BLACKOUT: COSA È SUCCESSO AI SISTEMI DI GOOGLE CLOUD 

Secondo il registro ufficiale degli incidenti pubblicato da Google Cloud, il problema è iniziato alle 8:08 del mattino, ora italiana, e ha interessato la regione informatica denominata europe-west2, situata a Londra. In particolare, Google ha identificato un evento relativo all'alimentazione elettrica, definito tecnicamente power event, che ha provocato l'indisponibilità di diversi servizi nella zona europe-west2-b. L'interruzione ha coinvolto infrastrutture e funzionalità utilizzate per l'elaborazione dei dati, la gestione delle applicazioni, la comunicazione tra sistemi e l'esecuzione di operazioni informatiche. Google ha progressivamente ripristinato i servizi, dichiarando concluso l'incidente principale alle 16:00 italiane, dopo una durata complessiva di 7 ore e 52 minuti. Il ritorno all'operatività delle infrastrutture cloud non ha tuttavia coinciso con l'immediato ripristino di tutti i servizi delle imprese coinvolte. Alle 18:00 italiane, secondo le ricostruzioni giornalistiche, la pagina britannica sullo stato operativo di Revolut indicava ancora problemi per gran parte delle funzionalità monitorate: soltanto 6 servizi su 27 risultavano funzionanti. Tra quelli ancora compromessi figuravano diverse operazioni fondamentali, come pagamenti, prelievi e trasferimenti. La differenza tra la durata del guasto Google e quella dei disservizi Revolut è un elemento centrale: quando un'infrastruttura torna disponibile, le applicazioni che ne dipendono possono richiedere ulteriori interventi e verifiche prima di riprendere normalmente a funzionare. Il 21 ottobre Revolut risultava aver ripristinato la propria operatività, pur in presenza di alcune segnalazioni residue. Rimane importante precisare che non è stato documentato un blocco continuo di ogni servizio per tutte le 24 ore e che Google deve ancora pubblicare l'analisi tecnica definitiva dell'incidente. Allo stato delle informazioni disponibili, non emergono elementi che permettano di qualificare il blackout come un attacco informatico o una violazione dei dati personali. Si tratta, invece, di un grave problema di disponibilità dei sistemi digitali, una componente della sicurezza informatica spesso meno visibile rispetto agli attacchi hacker, ma potenzialmente altrettanto dannosa. 

PERCHÉ UN GUASTO A LONDRA HA PARALIZZATO UNA BANCA DIGITALE 

Il funzionamento di una banca digitale dipende da un ecosistema tecnologico molto più complesso dell'applicazione che compare sullo smartphone. Quando un cliente effettua un pagamento, dispone un bonifico o controlla il saldo, la richiesta attraversa differenti sistemi informatici che devono comunicare tra loro, verificare l'identità dell'utente, elaborare le informazioni e autorizzare le operazioni. Parte di queste attività può essere affidata a infrastrutture esterne, come quelle offerte dai grandi fornitori di servizi cloud. Revolut e Google Cloud intrattengono una collaborazione strategica, ampliata nel settembre 2025 proprio per sostenere la crescita internazionale della banca attraverso infrastrutture informatiche scalabili. Il cloud consente alle imprese di aumentare rapidamente la capacità di elaborazione e gestire milioni di operazioni senza dover costruire autonomamente ogni componente tecnologica. Questa soluzione, tuttavia, genera una forma di dipendenza operativa. Se un servizio essenziale viene meno e non esiste un sistema alternativo capace di subentrare efficacemente, anche le applicazioni collegate possono diventare indisponibili. È quello che viene definito rischio di concentrazione tecnologica: un numero crescente di imprese, anche appartenenti a settori differenti, affida funzioni fondamentali a un gruppo ristretto di fornitori globali. Il 20 ottobre ne è arrivata una dimostrazione concreta. Oltre a Revolut, sono stati segnalati disservizi presso istituti come Lloyds, Halifax e HSBC, nonché presso imprese e servizi pubblici britannici. Perfino alcune udienze giudiziarie da remoto in Inghilterra e Galles hanno subito problemi a causa dell'indisponibilità della piattaforma video utilizzata per collegare partecipanti e operatori della giustizia. Non è dunque soltanto una questione bancaria: la stessa infrastruttura tecnologica può sostenere contemporaneamente pagamenti, attività economiche, comunicazioni istituzionali e servizi giudiziari. La conseguenza è che un guasto circoscritto dal punto di vista geografico può produrre effetti estesi sul piano economico e sociale. La vera questione non è quindi se il cloud sia una tecnologia affidabile in condizioni normali, ma se le imprese che lo utilizzano abbiano predisposto strumenti sufficienti per continuare a operare anche quando qualcosa smette di funzionare. 

COSA PREVEDE LA LEGGE: IL REGOLAMENTO DORA E LA RESPONSABILITÀ DELLE BANCHE 

Dal 17 gennaio 2025, nell'Unione europea è applicabile il Regolamento (UE) 2022/2554, conosciuto come DORA, acronimo di Digital Operational Resilience Act. Il regolamento nasce per rafforzare la capacità delle entità finanziarie di prevenire, resistere, rispondere e riprendersi dagli incidenti legati alle tecnologie dell'informazione e della comunicazione. La sua importanza emerge soprattutto in situazioni come quella verificatasi il 20 ottobre. DORA non si limita a chiedere alle banche di proteggersi dagli attacchi hacker, ma impone anche una gestione strutturata dei rischi tecnologici, compresi quelli derivanti da guasti, interruzioni e dipendenze da fornitori esterni. L'articolo 28 stabilisce un principio fondamentale: un'entità finanziaria che utilizza servizi informatici forniti da terzi rimane pienamente responsabile del rispetto degli obblighi previsti dal regolamento e dalla legislazione finanziaria applicabile. In altre parole, affidare parte dell'infrastruttura tecnologica a Google Cloud non significa trasferire automaticamente a Google tutte le responsabilità regolamentari della banca. Gli articoli 28, 29 e 30 disciplinano inoltre la gestione dei rischi derivanti dai fornitori ICT, la valutazione delle concentrazioni tecnologiche e i requisiti dei rapporti contrattuali. Le entità finanziarie devono valutare le dipendenze critiche, predisporre misure di continuità operativa e considerare strategie di uscita dai rapporti con fornitori rilevanti. Il regolamento prevede anche obblighi di gestione e, al ricorrere dei requisiti normativi, di segnalazione degli incidenti informatici gravi alle autorità competenti. Per i clienti italiani di Revolut occorre considerare che i servizi bancari sono prestati, secondo il rapporto contrattuale applicabile, da Revolut Bank UAB e dalla sua succursale italiana, soggette al quadro normativo e di vigilanza pertinente. DORA, tuttavia, non stabilisce che qualsiasi interruzione costituisca automaticamente una violazione, né impone l'assenza assoluta di guasti. Richiede piuttosto che i rischi siano identificati e gestiti secondo criteri di proporzionalità e che le imprese dispongano di adeguate capacità di risposta e ripristino. Per valutare eventuali responsabilità nel caso Revolut sarà pertanto necessario conoscere le misure preventive effettivamente adottate, l'architettura tecnologica utilizzata, la capacità dei sistemi alternativi e le modalità di gestione dell'emergenza. Un ulteriore elemento riguarda Google Cloud: nel novembre 2025 le autorità europee di vigilanza hanno incluso Google Cloud EMEA Limited tra i fornitori ICT critici ai sensi di DORA. Anche il Regno Unito, attraverso un regime di supervisione distinto da quello europeo, ha designato Google Cloud come fornitore tecnologico critico nel luglio 2026. Proprio il 20 ottobre, il Treasury Committee del Parlamento britannico ha scritto alla Bank of England e alla Financial Conduct Authority chiedendo chiarimenti sull'utilizzo dei loro poteri di vigilanza in relazione al blackout. La vicenda rappresenta quindi un banco di prova concreto per normative create per affrontare esattamente questo genere di rischio sistemico. 

CHI RISPONDE DEI DANNI: REVOLUT, GOOGLE O ENTRAMBI? 

La domanda giuridicamente più rilevante riguarda la responsabilità per le conseguenze economiche del disservizio. Immaginiamo un cliente che, durante il blackout, non riesca a effettuare un pagamento urgente, un professionista impossibilitato a trasferire una somma necessaria per la propria attività o un'impresa che subisca una penale per il ritardo nell'adempimento di un'obbligazione. L'impossibilità di utilizzare un servizio bancario può produrre conseguenze patrimoniali concrete, ma stabilire chi debba risponderne richiede di distinguere diversi rapporti giuridici. Il primo è quello tra cliente e banca: il cliente intrattiene un rapporto contrattuale con il proprio prestatore di servizi finanziari e non direttamente con il fornitore cloud. Per le operazioni di pagamento trova applicazione, ove pertinente, il quadro normativo derivante dalla direttiva PSD2, ossia la Direttiva (UE) 2015/2366. In particolare, l'articolo 89 disciplina la responsabilità dei prestatori di servizi di pagamento in caso di mancata esecuzione, esecuzione inesatta o tardiva delle operazioni, individuando obblighi che possono comprendere il rimborso delle somme e, in determinate circostanze, di spese e interessi. Occorre però distinguere un ordine di pagamento effettivamente impartito e non eseguito da una situazione nella quale il cliente non sia nemmeno riuscito ad accedere all'applicazione per impartirlo: le conseguenze giuridiche non sono necessariamente identiche. Un eventuale risarcimento di ulteriori danni dipenderà dalle norme applicabili, dal contratto e dalla possibilità di dimostrare l'inadempimento, il pregiudizio e il nesso causale. Il secondo rapporto è quello tra Revolut e Google Cloud, regolato dai rispettivi accordi commerciali e dalle norme applicabili. Qualora un'interruzione del servizio cloud abbia violato specifici obblighi contrattuali, potrebbero sorgere questioni riguardanti indennizzi, responsabilità e limiti risarcitori. Tuttavia, non sono pubblicamente disponibili tutti gli elementi necessari per stabilire se Google abbia violato i propri obblighi verso Revolut o se possano operare clausole di limitazione della responsabilità. Inoltre, non si può automaticamente qualificare un guasto elettrico come forza maggiore: una simile valutazione richiede di verificare l'imprevedibilità e l'inevitabilità dell'evento, le misure di prevenzione e il quadro contrattuale e normativo applicabile. Il risultato è che la responsabilità potrebbe distribuirsi su più livelli, ma il semplice verificarsi del blackout non è sufficiente per dichiarare giuridicamente responsabile una delle due società. Allo stesso modo, l'eventuale inosservanza delle prescrizioni di DORA costituirebbe una questione di vigilanza regolamentare distinta dall'accertamento del diritto del singolo cliente a ottenere un risarcimento. 

IL CLIENTE PUÒ CHIEDERE UN RISARCIMENTO? IL CASO PRATICO 

Consideriamo il caso di un libero professionista che debba versare 3.000 euro entro una scadenza contrattuale. Il giorno del pagamento tenta di utilizzare Revolut, ma il sistema non gli permette di completare il bonifico. A causa del ritardo, il creditore applica una penale di 150 euro. Il professionista potrebbe sostenere di aver subito un danno economicamente quantificabile a causa dell'indisponibilità del servizio bancario. Tuttavia, per ottenere un eventuale risarcimento non sarebbe sufficiente dimostrare che Revolut abbia avuto problemi il 20 ottobre: bisognerebbe verificare se l'ordine di pagamento fosse stato effettivamente impartito, quali obblighi gravassero sulla banca, se vi fossero strumenti alternativi ragionevolmente utilizzabili e se la penale sia stata una conseguenza giuridicamente imputabile al disservizio. Una situazione diversa è quella di un cliente che abbia semplicemente tentato di controllare il saldo senza riuscirci, ma che non abbia riportato alcuna perdita patrimoniale dimostrabile. In quest'ultimo caso, il disagio subito non comporta automaticamente un diritto a una somma di denaro. Per i clienti italiani è possibile presentare un reclamo formale a Revolut, anche mediante l'indirizzo formalcomplaints@revolut.com, descrivendo quanto accaduto e allegando gli elementi utili: schermate degli errori, orari dei tentativi, documentazione dei pagamenti e prove delle eventuali conseguenze economiche. Secondo la procedura comunicata dalla banca, per i reclami relativi ai servizi di pagamento è normalmente prevista una risposta entro 15 giorni lavorativi, con possibilità di estensione fino a 35 giorni lavorativi nelle circostanze eccezionali previste. In presenza dei requisiti di competenza e ammissibilità, il cliente può inoltre rivolgersi all'Arbitro Bancario Finanziario, dopo aver presentato il reclamo all'intermediario, oppure valutare le altre forme di tutela previste dall'ordinamento. Resta essenziale distinguere il ripristino delle funzionalità bancarie dalla riparazione dei danni eventualmente verificatisi: il fatto che un conto torni a funzionare non significa necessariamente che tutte le conseguenze del disservizio siano state risolte. Al tempo stesso, non risulta attualmente accertata una responsabilità risarcitoria generalizzata di Revolut per tutti gli utenti coinvolti. Ogni eventuale pretesa richiede una valutazione specifica delle circostanze. 

IL FUTURO DELLE BANCHE DIGITALI: UN SISTEMA VELOCE, MA DAVVERO RESILIENTE?