Revolut, hacker chiedono 3 milioni di dollari: usata una Pec della Prefettura di Reggio Calabria

17/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Un gruppo di criminali informatici che si firma "iamnotavillain" ha rivendicato la violazione dei dati di quasi 700 clienti della banca digitale britannica Revolut, sostenendo di aver agito attraverso una casella di posta elettronica certificata compromessa riconducibile alla Prefettura di Reggio Calabria.

Secondo la ricostruzione diffusa dal Financial Times, che ha contattato il gruppo via Telegram, gli attaccanti si sarebbero finti per mesi appartenenti alle forze dell'ordine italiane, inoltrando richieste di informazioni che Revolut ha trattato come legittime, consegnando documenti d'identità, selfie delle procedure di verifica, indirizzi, coordinate bancarie ed estratti conto.

Il meccanismo della truffa: una Pec autentica come lasciapassare

Il cuore dell'operazione non risiede in un'intrusione nei sistemi di Revolut, che la società ha escluso, bensì nell'uso di un canale di comunicazione istituzionale autentico. La posta elettronica certificata attribuisce valore legale alla trasmissione di un messaggio, certificando provenienza e avvenuta consegna: è il motivo per cui una richiesta che arriva da un indirizzo riconducibile a un ente pubblico viene considerata attendibile senza ulteriori controlli.

Secondo quanto emerso, la casella al centro dell'indagine utilizza il dominio del ministero dell'Interno ed è collegata a un ufficio della Prefettura di Reggio Calabria. Gli investigatori dovranno chiarire se l'account sia stato effettivamente compromesso, clonato o utilizzato con altre modalità.

Le dimensioni della rivendicazione e i dati coinvolti

Il gruppo sostiene di avere ottenuto informazioni su circa 680 clienti distribuiti in diversi Paesi europei, tra cui figurano anche nomi noti del settore delle criptovalute. I dati trasmessi comprenderebbero passaporti, patenti, fotografie impiegate nelle procedure di adeguata verifica della clientela, indirizzi di residenza, numeri di telefono, IBAN, estratti conto e cronologie delle transazioni, comprese operazioni in Bitcoin.

Gli attaccanti affermano inoltre di possedere circa 147 gigabyte di dati interni delle forze dell'ordine italiane, circostanza che al momento resta oggetto di verifica e non risulta confermata dalle autorità. Revolut, dal canto suo, ha dichiarato che i propri sistemi e i fondi dei clienti non sono stati toccati.

L'inchiesta giudiziaria e le verifiche in corso

La Procura della Repubblica di Reggio Calabria ha aperto un fascicolo ipotizzando il reato di intrusione in un sistema informatico di pubblico interesse. Sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo, competente quando la violazione riguarda un ente governativo, e la Polizia postale ha trasmesso una prima informativa che descrive un'operazione particolarmente sofisticata. Le verifiche dovranno accertare come sia stata compromessa la casella istituzionale, la durata effettiva dell'accesso e l'esatta consistenza del materiale sottratto.

Il Garante per la protezione dei dati personali ha intanto chiesto verifiche immediate sulla sicurezza degli accessi delle banche italiane, mentre l'Information Commissioner's Office britannico ha avviato una propria indagine dopo la segnalazione ricevuta da Revolut.

La richiesta di riscatto e l'ultimatum online

Nella giornata di mercoledì, il gruppo ha pubblicato un ultimatum online accompagnato da un conto alla rovescia digitale, intimando a Revolut il pagamento di 3 milioni di dollari in Monero, criptovaluta apprezzata dai criminali per la difficoltà di tracciamento delle transazioni. In caso contrario, minaccia di vendere i dati ad altri gruppi criminali. La richiesta è stata accompagnata dall'invio al Financial Times di un video nel quale un utente non identificato scorre quella che viene presentata come una cache di documenti sottratti, tra cui patenti, passaporti e cronologie di operazioni.

Revolut ha preferito non commentare la richiesta di riscatto. Secondo quanto riferito dal gruppo, gli obiettivi sarebbero stati selezionati tramite analisi della blockchain, individuando conti con ingenti disponibilità in criptovalute.