Revolut ha consegnato informazioni personali e finanziarie di centinaia di clienti a soggetti che si presentavano come funzionari pubblici. Gli autori della frode non hanno dovuto violare direttamente i sistemi informatici della fintech: secondo le ricostruzioni pubblicate tra il 12 e il 16 settembre 2026, hanno utilizzato un indirizzo appartenente a un dominio governativo autentico per presentare richieste di informazioni apparentemente legittime.
Il Financial Times ha riferito che le persone individuate nella prima ricostruzione dell’incidente sono circa 680. Revolut, nelle dichiarazioni pubbliche, non ha confermato quel numero e ha parlato di una quota «molto limitata» della propria clientela. La società conta oggi più di 80 milioni di clienti nel mondo.
Tra i dati potenzialmente comunicati figurano nomi, date di nascita, indirizzi di casa, numeri telefonici, indirizzi email, copie di passaporti e patenti, fotografie utilizzate per la verifica dell’identità, Iban, estratti conto e cronologie delle operazioni. Per alcuni clienti sarebbero comprese anche informazioni sulle transazioni in bitcoin.
Indice degli argomenti
La pista italiana porta a una Pec istituzionale
Gli sviluppi emersi in Italia hanno precisato un dettaglio che inizialmente Revolut non aveva reso pubblico: l’indirizzo utilizzato dai criminali sarebbe collegato a un’istituzione italiana.
Ansa ha riferito il 15 settembre che la Polizia postale sta indagando per accesso abusivo a sistema informatico e frode informatica. Le comunicazioni sarebbero partite dalla casella istituzionale di una prefettura. Quando Revolut ha contattato direttamente l’amministrazione interessata per verificare l’autenticità delle richieste, l’ente avrebbe negato di averle inviate.
Il 16 settembre Repubblica, citando fonti vicine alla Polizia postale, ha indicato più precisamente una casella @pec.interno.it associata alla Prefettura di Reggio Calabria. Secondo questa ricostruzione, l’account non sarebbe stato semplicemente imitato attraverso tecniche di spoofing: i criminali ne avrebbero ottenuto il controllo effettivo.
Il Financial Times ha raccolto dichiarazioni attribuite agli stessi responsabili dell’operazione, secondo i quali l’accesso sarebbe stato sfruttato per impersonare le forze dell’ordine italiane e chiedere informazioni alla fintech. Il quotidiano britannico riferisce inoltre che una parte rilevante delle persone coinvolte risiederebbe in Francia e Svizzera, con clienti distribuiti in numerosi altri Paesi europei.
Sono affermazioni che fanno parte della ricostruzione giornalistica e delle dichiarazioni degli attaccanti e non equivalgono a conclusioni definitive delle autorità investigative.
Perché Revolut ha consegnato i documenti
Il meccanismo dell’attacco mostra un problema diverso dalla classica intrusione nei server di una banca. L’elemento sfruttato dai criminali è stato il rapporto di fiducia tra istituzioni pubbliche e operatori finanziari.
Banche e intermediari ricevono regolarmente richieste dalle autorità nell’ambito di indagini giudiziarie, antiriciclaggio o di contrasto alle frodi. Revolut dispone di un canale specifico per ordinanze dei tribunali e richieste ufficiali e, nella documentazione pubblicata sul proprio sito, invita le autorità competenti a inviare una comunicazione distinta per ogni caso.
Nel caso emerso a settembre, la provenienza da un dominio istituzionale autentico e la validità dei meccanismi tecnici di autenticazione dell’email avrebbero portato Revolut a considerare le richieste genuine.
A TechCrunch la società ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna», spiegando che una terza parte non autorizzata ha usato un indirizzo appartenente a un dominio legittimo di un’agenzia governativa per presentare richieste fraudolente.
Il punto che dovranno chiarire le verifiche interne e quelle delle autorità riguarda quindi i controlli applicati oltre all’autenticazione tecnica del mittente: per esempio, se e in quali circostanze una richiesta particolarmente sensibile debba essere verificata attraverso un secondo canale indipendente prima che vengano trasmessi documenti bancari e copie dei documenti di identità.
Passaporti, selfie e transazioni tra i dati esposti
La quantità e la qualità delle informazioni coinvolte rendono l’incidente particolarmente delicato sul piano della sicurezza dei clienti.
Secondo una comunicazione inviata agli interessati e visionata da TechCrunch, i dati potevano comprendere nome e cognome, data di nascita, professione, indirizzo postale, email, numero di telefono, documenti di identità e fotografie utilizzate durante le procedure di verifica del cliente.
A questi dati si aggiungono informazioni finanziarie: estratti conto, Iban, data di apertura del rapporto, movimenti, prelievi e cronologia delle transazioni. Per i clienti che utilizzano i servizi in criptovalute, le informazioni potevano riguardare anche transazioni in bitcoin e riferimenti dei wallet riportati nei documenti.
Le informazioni disponibili non indicano invece la compromissione di password, chiavi private delle criptovalute o credenziali complete delle carte di pagamento. Revolut ha inoltre distinto le fotografie utilizzate per la verifica dell’identità dai dati biometrici facciali, che secondo la comunicazione non sarebbero stati inclusi.
La presenza contemporanea di documenti di identità, indirizzi e informazioni patrimoniali può tuttavia aumentare l’esposizione delle persone interessate a tentativi successivi di phishing, furto d’identità o impersonificazione.
Il caso arriva alle autorità britanniche
Revolut ha dichiarato di avere bloccato l’indirizzo utilizzato per le richieste non appena ha individuato la frode e di avere informato l’agenzia governativa coinvolta, le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari.
Il Financial Times ha riferito che il caso è stato segnalato anche all’Information Commissioner’s Office (Ico) britannico e che l’autorità sta esaminando l’incidente.
L’apertura di verifiche da parte di un’autorità non implica di per sé che sia già stata accertata una violazione degli obblighi previsti dalla normativa sulla protezione dei dati. Il compito dei regolatori sarà stabilire, tra gli altri aspetti, se le misure tecniche e organizzative utilizzate per verificare le richieste istituzionali fossero proporzionate alla sensibilità delle informazioni comunicate.
Nel Regno Unito l’Ico può utilizzare diversi strumenti, dai richiami e dagli ordini di adeguamento fino alle sanzioni economiche previste dalla normativa, quando accerta violazioni. L’esito nel caso Revolut dipenderà dalle conclusioni dell’eventuale procedimento e dalle responsabilità individuate.
Revolut: sistemi interni e denaro non compromessi
La società insiste su una distinzione precisa. «I sistemi di Revolut e i fondi dei clienti non sono stati toccati», ha dichiarato un portavoce nelle comunicazioni riportate da Ansa e TechCrunch.
L’incidente, quindi, non risulta derivare dalla penetrazione dell’infrastruttura informatica della fintech. Il trasferimento delle informazioni è avvenuto attraverso un processo utilizzato per rispondere alle richieste delle autorità.
Questa differenza riduce alcuni rischi, come quello di un accesso generalizzato ai conti, ma non elimina le conseguenze della divulgazione dei documenti. I dati già consegnati a una parte non autorizzata non possono essere recuperati con un semplice intervento tecnico.
Le persone contattate da Revolut devono inoltre considerare la possibilità che le informazioni sottratte vengano utilizzate per rendere più credibili future comunicazioni fraudolente. Un truffatore che conosce dati anagrafici, indirizzo, banca utilizzata e dettagli sulle operazioni può costruire messaggi molto più convincenti di una normale campagna di phishing.
Gli hacker avrebbero preso di mira clienti crypto
La componente legata alle criptovalute ha assunto peso nelle prime ricostruzioni dell’attacco. Il ricercatore di sicurezza noto come ZachXBT, che ha contribuito a rendere pubblico l’incidente, ha sostenuto che l’operazione sembra indirizzata verso clienti con patrimoni elevati. Revolut non ha confermato questa selezione.
Tra le persone che hanno dichiarato di essere state interessate figura Mark Karpelès, ex amministratore delegato dell’exchange Mt. Gox. Il Financial Times ha inoltre riferito che gli autori della frode avrebbero cercato informazioni su clienti con significative disponibilità in criptovalute.
L’eventuale selezione di profili patrimonialmente rilevanti aggiunge un problema di sicurezza fisica. La disponibilità contemporanea di indirizzi di residenza e informazioni sulle attività in criptovalute può infatti esporre i titolari a minacce che vanno oltre le frodi online.
Sono state inoltre riportate minacce di pubblicazione dei dati. Le cifre e le richieste di riscatto attribuite agli autori circolate online devono però essere trattate con cautela finché non vengono confermate dagli investigatori o dalla società.
L’incidente arriva durante l’espansione internazionale
Per Revolut il caso cade in una fase di forte crescita. Nell’esercizio 2025 la società ha dichiarato 6 miliardi di dollari di ricavi, in aumento del 46% sull’anno precedente, e 2,3 miliardi di dollari di utile ante imposte. A fine 2025 la base retail era arrivata a 68,3 milioni di utenti; nell’agosto 2026 la società ha dichiarato di avere superato quota 80 milioni.
L’espansione procede anche attraverso nuove licenze bancarie. Il 3 settembre Revolut ha annunciato di aver ottenuto dall’Office of the Comptroller of the Currency l’approvazione condizionata per costituire una banca nazionale negli Stati Uniti. Il progetto richiede ancora altri passaggi con Fdic, Federal Reserve e Occ e punta all’avvio nel 2027.
Il 15 settembre, mentre diventavano pubblici nuovi dettagli sull’incidente, la società ha annunciato anche la licenza bancaria in Colombia. Secondo Revolut, le licenze bancarie ottenute nel mondo sono ora sei.
Per un gruppo finanziario che punta a trasformarsi da app di pagamenti a banca globale, la gestione dei dati assume quindi anche un valore economico. La crescita del numero di clienti amplia la quantità di informazioni custodite e il numero di richieste che arrivano da autorità giudiziarie e amministrative di Paesi diversi.
La sicurezza non finisce all’interno della banca
Il caso Revolut mette in luce un limite dei sistemi basati sulla verifica dell’identità digitale del mittente. Un’email proveniente da un dominio autentico dimostra che il messaggio è passato attraverso quell’infrastruttura, ma non garantisce automaticamente che chi controlla la casella sia ancora il soggetto autorizzato.
Se verrà confermata la compromissione della Pec italiana, l’indagine dovrà ricostruire come sia stato ottenuto l’accesso, per quanto tempo la casella sia rimasta sotto il controllo degli attaccanti e quali altre comunicazioni siano eventualmente partite dallo stesso account.
Per banche e fintech il problema riguarda invece la procedura con cui vengono validate le richieste più sensibili. Controlli indipendenti sull’identità dell’autorità, conferme attraverso recapiti separati e sistemi di autorizzazione multipla possono diventare decisivi quando una richiesta riguarda interi dossier di identità e informazioni finanziarie.
Le indagini italiane e le verifiche dei regolatori britannici dovranno stabilire responsabilità e dimensioni dell’incidente. Il dato già accertato dalla stessa Revolut è che informazioni riservate sono state comunicate a una parte non autorizzata perché la richiesta appariva provenire da un soggetto istituzionale legittimo. È il passaggio che trasforma una compromissione di posta elettronica in un problema di sicurezza finanziaria transnazionale.
Partecipa alla community