Non è stato necessario violare i sistemi informatici di Revolut per mettere le mani sui dati più sensibili conservati dalla banca digitale. È bastato presentarsi come un’autorità pubblica, utilizzando però un indirizzo email appartenente realmente al dominio ufficiale di un ente governativo. Revolut ha confermato di aver comunicato informazioni personali e finanziarie di un numero limitato di clienti a una terza parte non autorizzata, dopo aver ricevuto richieste fraudolente che apparivano provenire da un’agenzia governativa. La società ha definito l’episodio un sofisticato attacco esterno di impersonificazione: in altri termini, un caso di phishing riuscito nel modo più insidioso possibile, perché passato attraverso un canale considerato affidabile per definizione.
Sommario
Una richiesta partita dal dominio ufficiale
La particolarità dell’incidente sta proprio nella sua meccanica. Non si è trattato di un indirizzo contraffatto o di un dominio costruito ad arte per assomigliare a quello di un ente pubblico, come avviene nel phishing più comune. Secondo la comunicazione inviata da Revolut ai clienti coinvolti, la richiesta sarebbe partita da un account email non autorizzato, creato direttamente all’interno dell’infrastruttura del dominio reale di un’agenzia governativa e dotato di credenziali di autenticazione valide. Revolut avrebbe quindi fornito le informazioni richieste ritenendo, a ragione delle verifiche tecniche superate, che la richiesta provenisse effettivamente dall’autorità. Non è stato reso noto quale ente pubblico sia stato coinvolto, né in quale Paese abbia sede. Resta inoltre poco chiaro come l’autore dell’attacco sia riuscito a ottenere o a creare un account all’interno del dominio dell’agenzia, un dettaglio che apre interrogativi sulla sicurezza informatica del settore pubblico coinvolto, al di là del caso Revolut.
Come è stato messo in atto l’attacco: i controlli tecnici superati
Il punto tecnico decisivo riguarda i tre meccanismi che i sistemi di posta elettronica utilizzano per autenticare un mittente: SPF, DKIM e DMARC. Il primo verifica che il server da cui parte l’email sia effettivamente autorizzato dal dominio di origine; il secondo aggiunge una firma crittografica che garantisce l’integrità del messaggio; il terzo stabilisce la politica da applicare quando uno dei controlli precedenti fallisce. Nel caso Revolut, tutti e tre gli esiti sono risultati positivi: il team che ha gestito la richiesta non aveva quindi alcun segnale tecnico per dubitare della sua genuinità. Solo in un secondo momento, contattando l’agenzia governativa attraverso canali paralleli, è emerso che nessun funzionario legittimo aveva effettivamente inviato quelle email.
I dati consegnati da Revolut
I dati finiti nelle mani sbagliate sono particolarmente delicati. Secondo le notifiche inviate agli utenti coinvolti, l’elenco comprende nome e cognome, data di nascita, occupazione, indirizzo postale, indirizzo email e numero di telefono. Sul fronte documentale risultano esposte le copie dei documenti utilizzati per la verifica dell’identità — passaporti e patenti di guida — insieme ai selfie caricati durante le procedure KYC, sebbene queste immagini non siano accompagnate da dati biometrici di riconoscimento facciale. Sul versante più propriamente finanziario compaiono numeri di conto, IBAN, data e stato di apertura dei conti, estratti conto e cronologie di prelievi e pagamenti; per chi opera in criptovalute, anche i riferimenti dei wallet Bitcoin e le relative cronologie di transazione. Tra le persone che hanno reso pubblica la ricezione dell’avviso c’è Mark Karpelès, ex amministratore delegato dell’exchange di criptovalute Mt. Gox, che ha diffuso parte della comunicazione ricevuta via email. Altrettanto significativo è ciò che, stando alle informazioni disponibili, non risulta coinvolto: password, PIN, codici di accesso, chiavi private dei wallet e i dati completi delle carte di pagamento, numero, scadenza e codice di sicurezza. Il cuore crittografico dell’autenticazione dei conti resta dunque intatto, il che significa che un eventuale attaccante dovrebbe comunque compiere un secondo passaggio, convincendo la vittima a consegnare volontariamente credenziali o ad autorizzare un’operazione, per trasformare i dati sottratti in un danno economico diretto.
La nota ufficiale di Revolut
Una volta individuato il problema, Revolut ha bloccato l’indirizzo email utilizzato per le richieste fraudolente e ha informato l’agenzia governativa coinvolta, le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari competenti. Un portavoce della società ha precisato che i sistemi interni e i fondi dei clienti non sono stati in alcun modo coinvolti nell’episodio, sottolineando che non vi sono indicazioni di un’intrusione diretta nell’infrastruttura informatica della fintech né di un accesso non autorizzato ai conti. Revolut ha reso pubblico l’episodio il 12 settembre 2026, definendolo appunto una sofisticata truffa di impersonificazione esterna; le prime notifiche individuali ai clienti coinvolti erano però già partite intorno all’11 settembre, prima che alcuni investigatori indipendenti del mondo delle criptovalute ne diffondessero autonomamente il contenuto. La società non ha reso noto quanto tempo sia trascorso tra la consegna dei dati e la scoperta della frode, né se lo stesso account governativo compromesso sia stato utilizzato per rivolgere richieste analoghe ad altri istituti bancari o finanziari.
Un numero di clienti “limitato”, ma l’incognita italiana resta aperta
Revolut non ha comunicato quanti clienti siano stati effettivamente coinvolti, limitandosi a parlare di un numero “limitato”, né ha chiarito se le persone interessate appartengano tutte a un solo Paese o se tra loro figurino anche clienti italiani. Si tratta di un dettaglio tutt’altro che secondario per l’Italia, dove Revolut ha raggiunto quota 5 milioni di clienti, dopo essere passata dai 3 milioni di gennaio 2025 ai 4 milioni di settembre dello stesso anno. La crescita italiana si inserisce in una fase di forte espansione internazionale della fintech, che conta oggi circa 80 milioni di clienti nel mondo e che nei giorni scorsi ha ottenuto l’approvazione condizionata dell’Office of the Comptroller of the Currency per costituire una banca nazionale negli Stati Uniti.
Il quadro giuridico: un data breach a tutti gli effetti
Sul piano normativo, la vicenda configura pienamente un data breach: la consegna di dati personali a un soggetto non legittimato rientra nella definizione di violazione di sicurezza prevista dal GDPR, indipendentemente dal fatto che nessuna somma di denaro abbia cambiato conto. Il regolamento europeo impone in questi casi la notifica all’autorità di controllo competente entro 72 ore dalla scoperta e la comunicazione diretta agli interessati quando il rischio per i loro diritti e le loro libertà è ritenuto elevato. Sul piano pratico, la distinzione tra fuga di dati e furto di fondi è meno rassicurante di quanto potrebbe sembrare: il saldo dei conti resta intatto, ma il profilo di rischio dei clienti coinvolti cambia in modo qualitativo e per un arco di tempo lungo. Una password si può sostituire in pochi secondi, un passaporto no.
Cosa possono fare i clienti coinvolti
Chi ha ricevuto una comunicazione da Revolut relativa all’episodio dovrebbe partire dal presupposto che almeno una parte dei propri dati KYC sia effettivamente in circolazione, e agire di conseguenza. Anche se password e PIN non risultano tra le informazioni divulgate, cambiare la password dell’account resta la prima mossa sensata, per neutralizzare il rischio legato a credenziali eventualmente riutilizzate su più servizi. È consigliabile estendere l’operazione anche all’indirizzo email associato al conto, attivare le notifiche push per ogni pagamento, controllare periodicamente l’elenco delle transazioni e conservare gli estratti conto come base probatoria per eventuali contestazioni. Il GDPR riconosce inoltre a chiunque il diritto di chiedere al titolare del trattamento — in questo caso Revolut — se il proprio conto rientri tra quelli coinvolti, quali categorie specifiche di dati siano state consegnate e quali misure correttive siano state adottate. La richiesta può essere presentata senza formalità particolari, anche via email attraverso i canali ufficiali dell’app, e il titolare è tenuto a rispondere senza ingiustificato ritardo, di norma entro un mese. Se la risposta non dovesse arrivare o risultasse insufficiente, resta percorribile la strada del reclamo formale all’autorità di protezione dei dati competente; per l’Italia è il Garante per la protezione dei dati personali.
Cos’è Revolut
Revolut è una fintech britannica nata come alternativa digitale alle banche tradizionali, oggi diventata una delle piattaforme di servizi finanziari più diffuse in Europa e non solo. Attraverso la sua app permette di gestire conti multivaluta, effettuare pagamenti e trasferimenti internazionali, investire e operare anche in criptovalute. Conta circa 80 milioni di clienti nel mondo, di cui 5 milioni solo in Italia, dove la crescita è stata particolarmente rapida nell’ultimo anno e mezzo.
