Revolut ha confermato l’esposizione di dati sensibili di 680 clienti dopo aver risposto a una richiesta fraudolenta arrivata da un indirizzo email che sembrava appartenere a un’autorità governativa legittima. Tra i dati coinvolti ci sono nomi, indirizzi, numeri di telefono, copie di passaporti e patenti, selfie di verifica, estratti conto, IBAN e cronologie complete delle transazioni, incluse quelle in Bitcoin. Non si è trattato di un attacco diretto ai sistemi dell’azienda, ma di una sofisticata operazione di impersonificazione: chi ha inviato la richiesta disponeva di credenziali di dominio autentiche, e Revolut l’ha trattata come una legittima richiesta delle forze dell’ordine, fornendo i dati senza ulteriori verifiche.
A rendere il caso particolarmente delicato per il pubblico italiano è l’origine della PEC utilizzata per la truffa, che secondo diverse ricostruzioni sarebbe riconducibile alla Guardia di Finanza o all’Unità di Informazione Finanziaria della Banca d’Italia. Dopo aver ottenuto i dati, gli autori dell’attacco sono passati all’estorsione: chiedono a Revolut diecimila Bitcoin, circa 780 milioni di dollari, minacciando di pubblicare tutto il materiale su Telegram in caso di rifiuto. L’Information Commissioner’s Office britannico ha aperto un’indagine dopo che la stessa Revolut si è autodenunciata all’autorità di controllo nei giorni scorsi.
Il quadro rischia di essere persino più grave di quanto raccontato finora. L’esperto di sicurezza informatica Matteo Flora ha segnalato che la violazione non sarebbe una semplice fuga di dati, ma la conseguenza diretta di una PEC compromessa e attribuita alle forze dell’ordine: un dettaglio che sposta parte della responsabilità dalle difese tecniche di Revolut alle procedure di verifica delle richieste governative. Gli stessi attaccanti, dopo la rivelazione iniziale, hanno rilanciato affermando di aver compromesso anche sistemi delle forze dell’ordine italiane, sostenendo di possedere 147 gigabyte di materiale sottratto: un’affermazione finora non confermata in modo indipendente.
La compromissione dei dati di @Revolut sembra essere molto, ma MOLTO più grave di quanto raccontato.
Se le affermazoni dell’attaccante sono corrette, Revolut non è stata “bucata”, ma ha risposto ad una PEC (compromessa dall’attaccante) direttamente delle Forze dell’Ordine, a una… https://t.co/YRoAuDlfWB— Matteo G.P. Flora (@lastknight) September 15, 2026
Per il settore cripto l’episodio si inserisce in una serie di violazioni recenti che hanno coinvolto dati sensibili di utenti: il wallet SafePal aveva già esposto le informazioni di 39.798 clienti, mentre un fornitore legato a Trezor era stato colpito con l’esposizione di circa 67.000 utenti statunitensi. L’investigatore on chain ZachXBT ha ipotizzato che l’attacco a Revolut possa aver preso di mira in particolare utenti con patrimoni consistenti in Bitcoin ed Ethereum, proprio i profili più esposti quando i dati KYC finiscono nelle mani sbagliate. Il caso conferma un rischio spesso sottovalutato: più le piattaforme raccolgono documenti e cronologie per rispettare gli obblighi antiriciclaggio, più quei dati diventano un bersaglio prezioso per chi vuole colpire direttamente i portafogli degli utenti più facoltosi.
C’è una beffa amara in tutto questo: i controlli KYC esistono per proteggere il sistema finanziario dal riciclaggio e dal crimine, eppure qui sono diventati proprio il canale attraverso cui il crimine è entrato. Bastava un’email con l’intestazione giusta per aggirare in un colpo solo firewall, crittografia e procedure di conformità costate anni di investimenti. Se la richiesta di riscatto in Bitcoin dovesse davvero concretizzarsi, Revolut si troverà a scegliere tra pagare milioni a dei criminali o vedere online i documenti d’identità di centinaia di clienti: una scelta che nessuna policy di sicurezza informatica può davvero preparare ad affrontare.
