Caso Revolut, attacco hacker alla Pec della Prefettura di Reggio Calabria: otto italiani coinvolti

20/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Un indirizzo di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria è finito al centro della violazione informatica che ha colpito Revolut. La società fintech britannica ha consegnato i dati personali di 680 clienti a un gruppo di cybercriminali che, utilizzando quella casella istituzionale, si è spacciato per un'autorità investigativa italiana.

Otto degli utenti coinvolti sono cittadini italiani, come riferito dal sottosegretario all'Interno Wanda Ferro durante un'interrogazione parlamentare, sulla base degli accertamenti condotti dall'Agenzia per la Cybersicurezza Nazionale.

Il gruppo si firma "IamNotAVillain" e, secondo quanto ricostruito, avrebbe lavorato per mesi per ottenere l'accesso alla casella di posta certificata del Ministero dell'Interno. L'attacco non ha violato direttamente i sistemi di Revolut: i criminali hanno inviato alla fintech un falso ordine europeo di indagine, chiedendo la collaborazione per una presunta inchiesta. Di fronte a una comunicazione che appariva provenire da un canale ufficiale, Revolut ha trasmesso un archivio contenente dati sensibili, inclusi numeri di passaporto, patenti di guida e fotografie di documenti di identità.

Nessun fondo dei clienti sarebbe stato sottratto, e l'infrastruttura interna della banca non risulterebbe compromessa.

Gli autori della violazione hanno pubblicato sul dark web una richiesta di riscatto da 3 milioni di dollari, da pagare in criptovaluta Monero, minacciando di vendere i dati ad altre organizzazioni criminali in caso di mancato pagamento. La cifra equivale a circa 2,61 milioni di euro. Il gruppo sostiene di detenere complessivamente 147 gigabyte di dati, ma i primi accertamenti della Polizia Postale non avrebbero trovato riscontri di un'esfiltrazione di quelle proporzioni dai sistemi del Viminale.

Resta da chiarire se la casella certificata sia stata effettivamente violata o se l'indirizzo sia stato soltanto contraffatto.

Sul caso sono in corso verifiche da parte della Procura di Reggio Calabria, della Polizia Postale, della Direzione Nazionale Antimafia e Antiterrorismo e del Garante per la protezione dei dati personali. Banca d'Italia segue con attenzione l'evolversi della situazione, come riferito da fonti dell'istituto centrale, mentre l'Acn ha potuto accertare la compromissione della casella attraverso l'analisi di un campione fornito dalla stessa Revolut.

Il Csirt Italia, struttura specializzata nella prevenzione e gestione degli incidenti informatici, ha esaminato le comunicazioni fraudolente che hanno portato alla consegna dei dati.

La vicenda mette in luce alcune criticità legate agli obblighi di notifica e alla vigilanza sulle società finanziarie con sede legale all'estero. Revolut, in quanto soggetto di diritto britannico, non è sottoposta alla normativa Nis e non ha obblighi di notifica verso l'Agenzia per la Cybersicurezza Nazionale, sebbene operi in Italia attraverso una banca lituana autorizzata e vigilata dalla Banca d'Italia.