Revolut blocca gli accessi da GrapheneOS: certificazione Google, non sicurezza
Revolut ha iniziato a bloccare l'accesso alla propria app bancaria agli utenti di GrapheneOS, e il progetto che sviluppa questa versione irrobustita di Android sostiene che il motivo non abbia nulla a che vedere con la sicurezza. In un thread pubblicato il 6 agosto 2026, GrapheneOS accusa la fintech di imporre in realtà la licenza di Google Play e la certificazione dei dispositivi, presentando la restrizione come una misura di protezione. La disputa tra Revolut e GrapheneOS riguarda poche persone e molto principio: è un esempio limpido di un'azienda privata che decide che un telefono è affidabile solo se lo dice Google.
Il blocco di Revolut a GrapheneOS: cosa è cambiato
Gli utenti di GrapheneOS hanno iniziato a segnalare che i nuovi tentativi di accesso semplicemente falliscono. La barriera è Google Play Integrity, un'interfaccia che comunica a un'app se il dispositivo esegue software certificato da Google. I sistemi Android privi dei servizi Google e quelli compilati in modo indipendente non superano quel controllo per definizione, per quanto aggiornate siano le patch, perché la certificazione è uno stato di licenza e non una misura di quanto sia sicuro il dispositivo.
Secondo GrapheneOS, Revolut si spinge oltre e rifiuta i dispositivi che riportano uno stato giallo di Android Verified Boot. Il giallo indica che il bootloader è bloccato con una chiave che non è quella del produttore, cioè esattamente l'aspetto di un sistema operativo alternativo verificato. La stessa restrizione, stando alle segnalazioni, non è stata applicata allo stato arancione, che indica un bootloader sbloccato ed è oggettivamente la configurazione più debole delle due.
Il problema di Android 9
L'argomento centrale del progetto è un'incoerenza, non una preferenza. "Revolut ha vietato di recente l'uso di GrapheneOS senza alcuna giustificazione", ha scritto GrapheneOS. "Sostengono falsamente di farlo per motivi di sicurezza. In realtà stanno imponendo la licenza di Google Play. Revolut non applica standard di sicurezza. Gira su Android 9, senza patch dal 2018."
Una precisazione su quest'ultima frase: la critica riguarda la soglia minima che Revolut fissa per i suoi clienti, non il codice dell'app in sé. Revolut continua a far girare la propria app su telefoni fermi ad Android 9, una versione del 2018 uscita da anni dal supporto di sicurezza. Quei dispositivi superano il controllo perché sono usciti di fabbrica con la benedizione di Google, mentre un telefono con una build irrobustita e aggiornata ogni mese viene respinto proprio perché quella benedizione non ce l'ha. Se l'obiettivo fosse proteggere i conti dei clienti, l'ordine sarebbe rovesciato.
Play Integrity contro l'attestazione hardware
Un'alternativa tecnica esiste, e GrapheneOS afferma di documentarla da anni. L'attestazione hardware di Android riferisce che cosa gira davvero su un dispositivo: modello dell'hardware, stato di avvio, sistema operativo e livello delle patch di sicurezza, il tutto firmato con una chiave incisa nel telefono in fabbrica. Play Integrity risponde a una domanda diversa e molto più grossolana, cioè se il software sia approvato da Google.
Una banca che volesse davvero una soglia di sicurezza potrebbe fissarla con l'attestazione: richiedere bootloader bloccato, catena di avvio verificata e un livello di patch non più vecchio di una certa data, e poi ammettere qualsiasi dispositivo che superi l'asticella. Scegliere invece il segnale di certificazione significa che la policy segue i rapporti commerciali di Google e non lo stato del telefono che il cliente ha in mano.
Non è il primo round
Revolut aveva già provato a escludere questo sistema nel gennaio 2025. GrapheneOS scoprì allora che l'app verificava se il nome host e il nome utente della macchina di compilazione fossero impostati su "grapheneos" e cambiò quei valori in "build-host" e "build-user", ripristinando l'accesso per più di un anno. Il blocco attuale è più difficile da aggirare, perché il verdetto di Play Integrity viene prodotto dall'infrastruttura di Google e non da una stringa dentro la ROM.
Revolut non ha pubblicato una risposta dettagliata alle accuse. Interpellata, l'azienda si è limitata a dire che la sua app supporta pienamente Android e iOS, senza spiegare perché un dispositivo bloccato, verificato e completamente aggiornato fallisca un controllo che una build abbandonata del 2018 supera.
Perché conta oltre una singola app
Play Integrity è diventato in silenzio il biglietto d'ingresso alla vita quotidiana con uno smartphone. Banche, pagamenti, biglietteria e un numero crescente di app pubbliche e di identità lo interrogano, e ognuna eredita così la definizione di Google di dispositivo accettabile. In pratica, scegliere un sistema operativo più rispettoso della privacy costa l'accesso a servizi che con la privacy non hanno nulla a che fare: un forte disincentivo travestito da requisito tecnico. La stessa dinamica si vede quando un produttore di piattaforma trasforma il telefono stesso in un documento d'identità, come ha fatto Apple con la verifica dell'età obbligatoria nel Regno Unito legata all'Apple ID in iOS 26.4.
Sotto tutto questo c'è anche una questione di concorrenza. Se una banca europea può rendere una licenza Google la condizione per arrivare ai propri soldi, il programma di certificazione smette di essere un marchio di qualità e inizia a funzionare come un collo di bottiglia, e le autorità si sono già interessate a forme di leva di piattaforma ben più piccole.
Che cosa possono fare gli utenti colpiti
- Mantenete la sessione attuale: il blocco segnalato riguarda i nuovi accessi, quindi evitate di uscire dall'account o di resettare il dispositivo finché la situazione non è chiara.
- Usate l'interfaccia web: l'accesso da browser non esegue i controlli di Play Integrity ed è l'alternativa più affidabile per le operazioni sul conto.
- Reclamate per iscritto: ticket di assistenza e reclami formali lasciano una traccia documentale, e nell'UE e nel Regno Unito è quella traccia che guarderà un ombudsman finanziario o un'autorità.
- Non sbloccate il bootloader per "risolvere": uno stato di avvio arancione indebolisce il dispositivo e non è una via di rientro supportata.
La lezione più ampia riguarda chi ha il diritto di definire un dispositivo affidabile. Chi abbandona il software predefinito della piattaforma di solito lo fa per ridurre quanti dati vengono raccolti sul proprio comportamento, ed è lo stesso pubblico che da tempo considera gli strumenti di privacy a livello di rete igiene di base e non un hobby di nicchia, ed è per questo che l'interesse per gli strumenti di privacy per Android cresce dopo ogni vicenda come questa.
