Revolut consegna i dati di 700 clienti ai truffatori: la pista italiana

15/09/2026 SCIENZA E TECNOLOGIA Condividi Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Un gruppo di criminali informatici è riuscito a ottenere da Revolut i dati personali e finanziari di alcune centinaia di clienti senza violare direttamente i sistemi della fintech britannica. L'azienda ha confermato di essere stata vittima di una «sofisticata truffa di impersonificazione esterna», nella quale una terza parte non autorizzata ha utilizzato un indirizzo email appartenente a un dominio governativo legittimo per presentare richieste fraudolente di informazioni.

La vicenda, anticipata dal Financial Times, riguarda un numero di clienti stimato in circa 680, che Revolut ha già provveduto a contattare individualmente. Tra i dati finiti nelle mani dei truffatori figurano copie di passaporti e patenti, indirizzi di residenza, numeri di telefono, coordinate bancarie, estratti conto e cronologia delle transazioni, comprese quelle in bitcoin.

Il meccanismo della truffa

Il punto centrale della vicenda è il metodo utilizzato dagli aggressori. Non c'è stata alcuna violazione dei server di Revolut né il superamento di barriere informatiche particolarmente sofisticate. È bastato utilizzare un indirizzo ufficiale di posta certificata appartenente a un'istituzione italiana, in precedenza compromesso, per inviare una richiesta che apparisse del tutto legittima.

Secondo quanto ricostruito, la mail sarebbe partita da un account con dominio @pec.interno.it e avrebbe richiesto informazioni bancarie e finanziarie relative agli account gestiti da Revolut Bank UAB, la controllata lettone, per una presunta indagine europea. La richiesta rientrerebbe nella categoria degli «ordini europei di indagine», strumenti di collaborazione tra Stati previsti da una direttiva del 2014, che impongono agli istituti finanziari di fornire i dati richiesti quando la richiesta appare formalmente legittima e vincolante.

«La procedura di richiesta dati da parte di una società governativa si chiama "Emergency data request" e tutte le piattaforme ne gestiscono decine su base quotidiana», ha spiegato Marco Ramilli, fondatore dell'azienda italiana di cyber intelligence Yoroi. Il problema, in questo caso, è che l'autore della richiesta non era affatto un'autorità pubblica.

Le indagini e le reazioni

Revolut ha dichiarato di essersi mossa immediatamente una volta individuata la frode. «Non appena individuata - ha spiegato un portavoce - abbiamo immediatamente bloccato l'indirizzo e informato l'agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria». La società ha precisato che i propri sistemi e i fondi dei clienti non sono stati toccati.

Sul fronte giudiziario, la polizia informatica italiana ha avviato un'indagine per accesso abusivo a sistema informatico e frode informatica. L'Information Commissioner's Office britannico, l'autorità per la protezione dei dati del Regno Unito, ha aperto un'istruttoria dopo che Revolut aveva segnalato autonomamente la violazione. Anche Banca d'Italia e l'Agenzia per la cybersicurezza nazionale avrebbero avviato accertamenti, secondo quanto riportato.

Il gruppo che rivendica l'operazione si fa chiamare IAmNotAVillain. Secondo quanto riferito dal canale Telegram che sarebbe gestito dagli stessi hacker, la casella di posta compromessa sarebbe stata violata attraverso un infostealer, un software capace di sottrarre credenziali da un computer infetto. Gli aggressori sostengono di aver avuto accesso a oltre 87.000 file per un totale di 147 gigabyte di documenti, email e informazioni personali riconducibili alle forze dell'ordine italiane.

Le implicazioni e i precedenti

Tra i clienti coinvolti figurano anche nomi noti. Mark Karpelès, ex amministratore delegato della piattaforma di scambio bitcoin Mt. Gox, ha confermato di aver ricevuto la comunicazione di Revolut alle 5:25 del mattino del 12 settembre. «Pensavo fosse una truffa... all'inizio mi sono dispiaciuto per loro», ha dichiarato al Financial Times. Karpelès ha poi precisato di ritenere che Revolut non avrebbe dovuto condividere quelle informazioni, indipendentemente dalla provenienza dell'indirizzo email.

La vicenda evidenzia una vulnerabilità che non riguarda esclusivamente Revolut. Nel settembre 2025, HSBC aveva avvisato i propri clienti britannici che dettagli di passaporti e documenti d'identità erano stati compromessi attraverso un accesso non autorizzato a una piattaforma di terze parti. Nello stesso mese, Harrods aveva comunicato ai clienti che nomi e informazioni di contatto erano stati sottratti dopo che gli hacker avevano violato i dati detenuti da un fornitore esterno.

Revolut, fondata nel 2015, è diventata la principale fintech europea con 80 milioni di clienti in 30 Paesi e una valutazione di 115 miliardi di dollari emersa da una recente operazione sul mercato secondario. In Italia il gruppo dichiara 5 milioni di clienti.