Perché tutte le carte Revolut sono state rifiutate il 20 ottobre 2026? L'interruzione spiegata

Se questa mattina la tua carta Revolut è stata rifiutata, alla cassa, alla pompa di carburante o al bancomat, il problema non era la carta e non eri tu. La mattina di martedì 20 ottobre 2026, Revolut ha subito un’interruzione a livello aziendale. Pagamenti con carta, bonifici, prelievi agli sportelli automatici e persino l’accesso all’app non funzionavano per i clienti in Regno Unito, Francia, Spagna, Germania e Grecia, oltre che in Irlanda. Revolut ha confermato un’interruzione che interessa più servizi e ha dichiarato che il denaro e i dati di tutti i clienti sono al sicuro. Il fattore scatenante più probabile è un guasto di Google Cloud nella sua regione di Londra, iniziato alle 06:08 UTC, cioè le 08:08 a Parigi, e che Google ha poi attribuito a un evento di alimentazione elettrica. Una persona a conoscenza della questione ha detto a Reuters che l’interruzione di Revolut era legata al problema di Google Cloud. Nessuna delle due aziende ha confermato pubblicamente tale collegamento.

Le cronache in diretta ti dicono che Revolut è fuori servizio. Non ti dicono dove si trova il guasto nella catena dei pagamenti, perché una pompa di carburante automatica rifiuta la tua carta anche quando una cassa a volte la accetta, o come una singola regione cloud a Londra possa bloccare una carta in una stazione di servizio francese. Questo articolo risponde a queste domande, distingue l’interruzione dai recenti attacchi ai data center russi e da una falla appena divulgata nelle macchine virtuali Linux, ed elenca cosa portare con sé perché una singola interruzione dell’emittente non ti lasci mai più a piedi.

Perché la mia carta Revolut è stata rifiutata il 20 ottobre?

Perché Revolut, l'azienda che approva ogni pagamento effettuato con le sue carte, non ha potuto rispondere per diverse ore. Dalle 08:00 circa ora di Parigi, riferisce Clubic, l'app mostrava un messaggio di errore, le carte venivano rifiutate nei negozi e nei taxi e i bonifici fallivano. Revolut conta più di 8 milioni di clienti nella sola Francia. La stampa tecnologica francese ha riportato rifiuti alle casse e agli sportelli automatici.

La pagina di stato di Revolut è stata lenta ad aggiornarsi. Alle 09:42 ora di Parigi mostrava ancora tutti i sistemi operativi; in seguito ha elencato 31 servizi come parzialmente non disponibili, tra cui pagamenti con carta, bonifici, prelievi agli sportelli automatici, servizi premium e accesso. Ecco la mattinata così come si è svolta.

Alle 13:25 ora di Parigi del 20 ottobre, Google attribuisce l'interruzione a un evento di alimentazione elettrica nella zona europe-west2-b, afferma che l'evento di alimentazione è stato mitigato e che i servizi vengono ripristinati progressivamente, ma il suo incidente resta aperto e il suo rapporto completo sull'incidente non è stato pubblicato. Revolut non ha emesso alcun avviso di ripristino e non ha indicato una causa. Aggiorneremo questo articolo quando Revolut o Google pubblicheranno un post-mortem.

È stata colpa di Revolut, di Visa o del negozio?

Ogni pagamento con carta coinvolge tre parti. Il terminale del negozio e la sua banca (l'acquirer) acquisiscono la carta e inviano una richiesta di autorizzazione. Il circuito della carta, Visa, Mastercard o CB in Francia, instrada quella richiesta. L'emittente, la banca dietro la tua carta, risponde sì o no in tempo reale. Il 20 ottobre non abbiamo trovato alcun incidente segnalato da Visa, Mastercard o CB, e nessun altro emittente di carte ha segnalato problemi con le carte, il che, secondo tutte le evidenze, colloca il guasto presso Revolut in quanto emittente della carta.

Un'interruzione dell'emittente si verifica quando la banca dietro la tua carta non può rispondere alla richiesta di approvazione del circuito di pagamento, quindi tutti i terminali rifiutano la carta contemporaneamente, qualunque sia il negozio e qualunque sia il paese. Ecco perché il quadro sembrava così strano dall'esterno: la carta falliva ovunque allo stesso tempo, mentre la persona accanto a te pagava senza problemi.

Questo spiega anche perché le pompe di carburante automatiche rifiutavano ogni volta mentre una cassa a volte accettava la carta. In Francia, una pompa automatica aperta 24 ore su 24, 7 giorni su 7, chiede all'emittente di approvare un importo massimo fisso prima che tu sollevi la pistola di erogazione, spesso da 100 a 150 euro stabiliti dalla stazione, e lo sostituisce poi con l'importo reale. Quella pre-autorizzazione richiede una risposta immediata dall'emittente, quindi quando l'emittente tace, la pompa dice no ogni volta. La pompa rende visibile un'interruzione dell'emittente; non la causa. Una possibile spiegazione per i pagamenti comunque andati a buon fine è che alcuni terminali possono approvare piccoli importi offline e regolarli in seguito, il che potrebbe spiegare perché Clubic ha riportato che alcuni clienti Revolut potevano ancora pagare in alcuni negozi mentre la maggior parte delle carte veniva rifiutata.

Cosa c'entra Google Cloud con la mia carta bancaria?

Molte banche e fintech eseguono gran parte del loro software su infrastrutture cloud in affitto, e quando quell'infrastruttura si guasta, i loro servizi possono guastarsi con essa. Google afferma che il problema è iniziato alle 06:08 UTC; il suo primo aggiornamento di stato, pubblicato alle 10:35 ora di Parigi, circa due ore e mezza dopo, segnalava errori elevati e guasti di rete intermittenti in europe-west2, la sua regione di Londra. Per un titolare di carta quel divario contava. Per circa due ore e mezza la pagina di stato di Google non diceva nulla, e alle 09:42 ora di Parigi quella di Revolut mostrava ancora tutti i sistemi operativi. The Register osserva che europe-west2-b è una delle tre zone di disponibilità di quella regione. La pagina dell'incidente di Google elenca 38 prodotti interessati, tra cui Kubernetes Engine, Cloud Run e BigQuery Data Transfer Service, e Google ha pubblicato le sue scuse a tutte le persone colpite. Alle 13:12 ora di Parigi, Google ha indicato una prima causa: "A causa di un evento di alimentazione elettrica abbiamo subito un'interruzione nella zona europe-west2-b. L'evento di alimentazione è stato mitigato", si legge nel suo aggiornamento, con i servizi in fase di ripristino progressivo. La dichiarazione di Google riguarda la propria zona e non menziona Revolut. Le altre regioni Google in Europa, comprese Parigi e Francoforte, non hanno segnalato problemi.

Il collegamento con Revolut resta attribuito, non confermato. Una persona a conoscenza della questione ha detto a Reuters che l'interruzione di Revolut era legata al problema di Google Cloud, e le dichiarazioni di Revolut non menzionano Google. The Journal ha riportato che l'interruzione deriverebbe da un guasto presso un fornitore terzo, senza nominarne alcuno. La stessa mattina, Downdetector UK mostrava picchi per Lloyds, Halifax, Bank of Scotland, HSBC, NatWest, Santander UK e MBNA, oltre a Royal Mail, Rightmove e GOV.UK, e i clienti di ING Germania avevano problemi ad accedere all'online banking e all'app. Nessuno ha collegato ufficialmente quelle segnalazioni a Google Cloud, e i picchi di Downdetector possono trarre in inganno, poiché gli utenti preoccupati controllano anche servizi che in realtà funzionano.

Qualunque cosa dica il post-mortem finale, la forma dell'evento è familiare. A settembre, quando ChatGPT, Claude e Grok si sono fermati insieme, un cloud condiviso era il primo sospettato e si è rivelato non essere la causa; questa volta, una singola regione cloud è la spiegazione principale, anche se ancora non confermata. Quando molte aziende affittano lo stesso edificio, un guasto in quell'edificio può diventare il guasto di tutti allo stesso tempo, e questa volta il servizio in questione era la carta nella tua tasca.

È stato un attacco informatico, o è legato agli attacchi ai data center russi?

No, sulla base delle prove disponibili. Dall'8 ottobre 2026, i droni ucraini hanno colpito i data center di Yandex a Sasovo, Kaluga e Vladimir, interrompendo i servizi Yandex in Russia e nei paesi vicini; abbiamo trattato quegli attacchi in dettaglio qui. La copertura di quegli attacchi non menziona alcun effetto su banche europee, pagamenti con carta o fornitori cloud occidentali. Revolut non opera in Russia. L'interruzione di Revolut ha coinciso con un problema a una struttura Google a Londra, e nessuna fonte collega i due eventi. Si somigliano in un solo aspetto: entrambi mostrano che i servizi critici risiedono in un piccolo numero di edifici fisici. Ma uno è un attacco militare a un'infrastruttura e l'altro è un normale guasto cloud, e confonderli non aiuta nessuno.

Né qualcosa fa pensare a un hackeraggio. Nessuna fonte segnala un'intrusione, Revolut afferma che il denaro e i dati dei clienti sono al sicuro, e l'app di gestione del budget Emma, anch'essa colpita questa mattina, ha descritto il proprio problema come un guasto tecnico e non una violazione di sicurezza. Un attacco informatico non è formalmente escluso finché non appare un post-mortem, ma tutto ciò che è visibile oggi indica un incidente cloud, non un attacco, e la stessa Google ora attribuisce la sua interruzione di Londra a un evento di alimentazione elettrica nella zona europe-west2-b, con il suo rapporto completo sull'incidente ancora da pubblicare.

È stata la falla Linux PwnEscape, o parte di una serie di interruzioni cloud?

Una seconda domanda merita lo stesso trattamento. Potrebbe esserci dietro una falla Linux appena divulgata? Il 15 ottobre 2026, cinque giorni prima dell'interruzione, il team CVE del kernel Linux ha pubblicato CVE-2026-99999, soprannominata PwnEscape, una falla critica nel codice di rete del kernel, nella gestione del checksum IPv4, valutata 9,3 su 10 secondo CVSS 3.1. La valutazione è alta per ciò che il bug consente. Una macchina virtuale guest malevola può inviare pacchetti di rete appositamente costruiti che corrompono il kernel della macchina host su cui gira, e i ricercatori hanno dimostrato fughe di memoria dell'host, crash dell'host ed esecuzione di codice come root sull'host, nel loro laboratorio. La falla risiede nello stack di rete di Linux che gestisce il traffico dei guest, non in un hypervisor specifico.

La scoperta in sé è avvenuta in modo ordinato. Il team di ricerca PWN.AI ha trovato il bug durante la sfida di sicurezza sulle sandbox di Vercel, lo ha segnalato privatamente ai manutentori del kernel il 4 settembre, e la correzione è arrivata nel kernel Linux principale il 14 ottobre. Soprattutto, non è stato segnalato alcuno sfruttamento in circolazione. La valutazione della CISA del 16 ottobre, registrata nella scheda CVE, indica "Sfruttamento: nessuno", e la falla non figura nel catalogo CISA delle vulnerabilità notoriamente sfruttate. Google non ha pubblicato alcun bollettino di sicurezza al riguardo, e i suoi bollettini fino al 19 ottobre non la menzionano. Google attribuisce l'interruzione di Londra a un evento di alimentazione elettrica nella zona europe-west2-b, le dichiarazioni di Revolut non menzionano né Google né alcuna vulnerabilità, ed Emma ha descritto il proprio problema come un guasto tecnico e non una violazione di sicurezza. Nessuna fonte credibile collega PwnEscape a questa interruzione.

Il contesto però è reale. Questo autunno ha portato una serie di grandi incidenti cloud. Il 1° settembre, dei cavi di rete in fibra scollegati durante una manutenzione ordinaria dei router hanno isolato parti di due zone della regione us-central1 di Google Cloud, nell'Iowa, per circa quattro ore, dalle 07:41 alle 11:52 ora del Pacifico degli Stati Uniti, interessando 16 prodotti. Dal 30 settembre al 1° ottobre, i servizi gateway di Microsoft Azure, tra cui ExpressRoute, VPN Gateway, Azure Firewall, Application Gateway e Azure VMware Solution, sono stati interrotti in 18 regioni a partire dalle 20:30 UTC, e Microsoft ha citato una correlazione con attività di aggiornamento del sistema operativo dell'infrastruttura. L'8 e 9 ottobre, un aggiornamento della configurazione di bilanciamento del carico ha sovraccaricato i nodi di Google Cloud Storage in us-central1, causando errori di scrittura per un totale di circa 18 ore nell'arco di due giorni.

La conclusione corretta discende da quei rapporti. La serie di incidenti è reale, e mostra quanto tutto dipenda da una manciata di fornitori, ma le cause dichiarate erano lavori di manutenzione, modifiche di configurazione e capacità, e nessuno di quei rapporti menziona un attacco o una vulnerabilità. L'interruzione di Londra ora rientra in quello schema: Google la attribuisce a un evento di alimentazione elettrica, un'altra causa non legata a un attacco, anche se il suo rapporto completo sull'incidente è ancora in attesa di pubblicazione.

Perché i messaggi di phishing seguono le interruzioni?

Perché un'interruzione offre ai truffatori una storia già pronta. Migliaia di persone si sono appena viste rifiutare una carta, sono preoccupate e aspettano un messaggio dalla loro banca. Un SMS falso che dice che la tua carta è stata sospesa, con un link per verificare i tuoi dati, è molto più credibile in un giorno come oggi che in un martedì qualsiasi. Aspettati un'ondata di messaggi di questo tipo nei prossimi giorni, via SMS, email e telefonate.

C'è un motivo per prendere la cosa sul serio proprio con Revolut. A settembre 2026, un aggressore che si spacciava per un'autorità di regolamentazione governativa italiana, scrivendo da un dominio governativo legittimo, ha ottenuto i dati di circa 650 clienti, tra cui documenti d'identità, foto, estratti conto e cronologie delle transazioni. Revolut l'ha definita una sofisticata truffa esterna di impersonificazione, ha dichiarato che i suoi sistemi e i fondi dei clienti non erano stati toccati e ha contattato le persone interessate. Quella fuga di dati non è legata all'interruzione del 20 ottobre, ma significa che i dati reali di alcuni clienti sono in circolazione, il che rende un messaggio di phishing convincente e personale.

Nessun vero operatore dell'assistenza bancaria ha bisogno del tuo PIN, delle password, dei codici monouso o dei dati della carta, e nessuno ti chiederà di approvare qualcosa nella tua app perché ti ha chiamato; in caso di dubbio, riaggancia e contatta la banca tramite la sua app. Non toccare i link nei messaggi sull'interruzione; apri direttamente l'app e leggi i suoi avvisi. Come ulteriore protezione, Threat Protection di Le VPN blocca i domini di phishing e malware noti prima che si carichino. Non può impedire a un SMS di arrivare né intercettare ogni dominio truffaldino appena creato, quindi il tuo scetticismo resta la prima linea di difesa.

Come evitare di restare bloccati la prossima volta?

Non puoi impedire la prossima interruzione di Revolut, ma puoi fare in modo che per te non sia un problema.

• Porta con te una seconda carta di un emittente diverso. Una seconda carta Revolut fallisce insieme alla prima. Per chi risiede in Francia, una carta di una banca francese sul circuito CB è un buon complemento, poiché ad approvarla è un emittente diverso.
• Tieni un po' di contanti. Abbastanza per carburante e cibo. Anche i prelievi Revolut agli sportelli automatici erano fuori servizio, quindi il momento per prelevarli è prima di un'interruzione, non durante.
• Alla stazione di servizio, vale la pena provare la cassa con il personale piuttosto che la pompa automatica durante un'interruzione dell'emittente, anche se potrebbe rifiutare anche lì.
• Controlla prima la pagina di stato e gli avvisi nell'app. Prima di presumere che la tua carta sia bloccata o compromessa, verifica se l'emittente sta segnalando un incidente. Revolut elenca anche i motivi ordinari di rifiuto, come una carta congelata, un limite di spesa, una conferma 3-D Secure in sospeso o un tipo di pagamento disattivato, con il motivo specifico mostrato nell'app.
• Non congelare, annullare o reimpostare la carta in preda al panico. Durante un'interruzione dell'emittente non cambia nulla, e una carta annullata significa aspettare una sostituzione una volta ripristinato il servizio.
• Non dare mai i tuoi dati a chi ti contatta dicendo di essere l'assistenza Revolut, oggi più che mai.
• Conserva screenshot con data e ora dei pagamenti rifiutati e dei bonifici falliti se ti sono costati denaro, e segnalali all'assistenza Revolut tramite l'app una volta ripristinato il servizio.

Una cosa che non avrebbe aiutato è una VPN, e lo diciamo da fornitore di VPN. L'autorizzazione della carta avviene tra il terminale, il circuito della carta e l'emittente; la tua connessione, con o senza un server VPN francese, non ha alcun ruolo nell'approvazione di un pagamento. Una VPN protegge il tuo traffico e, con Threat Protection, filtra molti dei domini truffaldini che seguono una giornata come questa. Non mantiene in funzione una banca.

Google ha indicato una prima causa, un evento di alimentazione elettrica nella sua zona europe-west2-b, ma il rapporto completo sull'incidente deve ancora arrivare. Quando arriverà, tre cose meriteranno attenzione: cosa esattamente abbia messo fuori servizio l'evento di alimentazione, se Revolut confermerà con parole proprie il collegamento con Google Cloud, e perché la sua pagina di stato mostrava tutti i sistemi operativi mentre le carte venivano già rifiutate alle casse di tutta Europa.