Caso Revolut, hacker chiedono riscatto di 3 milioni di dollari: "Abbiamo i dati della polizia italiana"

17/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Il gruppo di cybercriminali che rivendica la violazione dei dati della banca digitale britannica Revolut ha lanciato un ultimatum. La richiesta è di 3 milioni di dollari in criptovaluta Monero, da pagare entro 24 ore. In caso contrario, i dati riservati di centinaia di clienti verranno venduti ad altri gruppi criminali. Il messaggio, pubblicato online nel pomeriggio, è accompagnato da un conto alla rovescia digitale. Il testo intima alla fintech di pagare «6.000 xmr / 3.000.000 $... altrimenti tutti i dati saranno venduti e la responsabilità ricadrà su di voi».

Poco dopo la pubblicazione della richiesta di riscatto, il gruppo che si fa chiamare iamnotavillain ha inviato al Financial Times un video di 60 secondi. La registrazione dello schermo mostra un utente non identificato scorrere la cache di presunti documenti di Revolut. Nel filmato comparirebbero patenti di guida, passaporti, foto identificative utilizzate durante il processo di verifica "Know your customer" e cronologie delle transazioni dei clienti. La violazione dei dati avrebbe interessato almeno 680 account.

Il gruppo ha dichiarato di aver selezionato gli obiettivi utilizzando l'analisi blockchain per identificare i conti Revolut con significative disponibilità di criptovalute.

Il meccanismo alla base della violazione non è un attacco informatico tradizionale ai sistemi di Revolut. La banca non ha subito alcuna intrusione diretta. I criminali hanno sfruttato una casella di posta elettronica certificata compromessa, riconducibile alla Prefettura di Reggio Calabria, con dominio pec.interno.it. Da quell'indirizzo, spacciandosi per la Polizia Postale, hanno inviato richieste di informazioni che apparivano del tutto legittime. Revolut, ritenendo il richiedente un ente affidabile, ha consegnato i dati richiesti come normale adempimento di legge.

Le comunicazioni sarebbero proseguite per circa sei mesi, con richieste scaglionate nel tempo, prima che la società si insospettisse e verificasse direttamente con le autorità italiane, le quali hanno negato ogni richiesta.

La Procura della Repubblica di Reggio Calabria ha aperto un'inchiesta sul caso. Il reato ipotizzato è intrusione in un sistema informatico di pubblico interesse. Sul tavolo dei magistrati è stata trasmessa una prima informativa della Polizia Postale. Al momento gli investigatori non hanno la certezza che sia stato compromesso un computer della Prefettura o del Viminale, né che la casella sia stata effettivamente violata o clonata.

Si è attivata anche la Direzione Nazionale Antimafia e Antiterrorismo, che interviene quando la violazione riguarda un ente governativo.

Il Garante per la protezione dei dati personali ha disposto verifiche immediate su eventuali falle nella sicurezza degli accessi delle banche italiane. L'obiettivo è duplice: accertare se vi siano stati altri tentativi di infiltrazione simili a quello subito da Revolut e richiamare gli istituti a controlli interni più efficaci. L'Autorità ha inoltre avviato uno scambio di informazioni con l'omologa autorità lituana, Paese dove Revolut ha la propria sede legale principale, e si è attivata sul fronte del Ministero dell'Interno per inquadrare la vicenda.