un attacco che preoccupa i clienti

Una fuga dati Revolut ha acceso i riflettori sulla sicurezza dei colossi fintech che gestiscono anche portafogli in criptovalute. L’investigatore on-chain ZachXBT ha reso pubblico, tramite il suo canale Telegram, un avviso interno dell’azienda che descrive come Revolut abbia consegnato dati sensibili di alcuni clienti a un mittente non autorizzato, dopo aver scambiato una richiesta fraudolenta per una comunicazione ufficiale di un ente governativo. Tra le informazioni finite nelle mani sbagliate ci sono documenti d’identità, selfie di verifica e cronologie complete delle transazioni, incluse quelle in Bitcoin.

Punti chiave

• ZachXBT ha condiviso su Telegram un avviso di Revolut relativo a una fuga dati causata da una richiesta governativa fraudolenta.
• Il mittente non autorizzato ha usato il dominio email ufficiale di un’agenzia governativa, superando i controlli di autenticazione.
• Tra i dati compromessi: nomi, documenti d’identità, selfie di verifica, IBAN, estratti conto e cronologie di transazioni con riferimenti a wallet Bitcoin.
• L’incidente appare limitato nel numero di account coinvolti e potrebbe aver preso di mira clienti ad alto patrimonio.
• Alcuni utenti hanno già ricevuto email di notifica ufficiali da Revolut, inviate venerdì 11 settembre.

La fuga dati Revolut segnalata da ZachXBT

Il caso emerge da uno screenshot di un avviso ufficiale Revolut, pubblicato da ZachXBT sul suo canale di investigazioni il 12 settembre 2026. Il documento non riporta né il nome dell’agenzia governativa coinvolta né la data esatta della richiesta fraudolenta, ma conferma che l’azienda ha fornito informazioni finanziarie e identificative a un soggetto che si è finto un ente pubblico.

Il ruolo dell’investigatore on-chain

ZachXBT, noto per aver tracciato numerosi casi di frodi e violazioni nel settore crypto, ha reso pubblico l’avviso senza fornire un conteggio confermato degli account coinvolti. Ha però segnalato che diversi clienti hanno ricevuto un’email di allerta venerdì 11 settembre, e che l’attacco potrebbe aver preso di mira in modo specifico i clienti più ricchi della piattaforma.

Che tipo di dati sono stati compromessi

Secondo la notifica, tra i dati diffusi figurano nomi completi, date di nascita, occupazioni, indirizzi postali, email e numeri di telefono. Sono state inoltre condivise copie di documenti d’identità come passaporti o patenti, insieme ai selfie di verifica richiesti in fase di onboarding — Revolut ha precisato che questi non includono dati biometrici di riconoscimento facciale. Gli estratti conto contenevano IBAN, stato dell’account, data di apertura e riferimenti ai wallet Bitcoin, oltre a cronologie complete di prelievi e transazioni, comprese quelle in Bitcoin.

Come una richiesta fraudolenta ha superato i controlli di Revolut

Il punto più delicato della vicenda riguarda il modo in cui la richiesta fraudolenta è riuscita a passare inosservata. Il messaggio è stato inviato da un account non autorizzato che utilizzava il dominio email ufficiale di un’agenzia governativa, e non un indirizzo simile o contraffatto: questo ha permesso alla comunicazione di superare i controlli di autenticazione del dominio.

Il dominio governativo usato per ingannare i sistemi

Nella notifica, Revolut scrive che la richiesta conteneva “credenziali di autenticazione del dominio valide” e che per questo è stata soddisfatta “nella ragionevole convinzione che si trattasse di una richiesta autentica da parte di un’agenzia governativa”. La formulazione lascia intendere che non ci sia stata un’intrusione diretta nei sistemi Revolut: nessun account risulta violato né sono stati prelevati fondi, secondo quanto emerge dal testo dell’avviso. Resta però un vuoto nella ricostruzione: non è chiaro come il mittente non autorizzato abbia potuto usare il dominio ufficiale dell’ente, né se l’agenzia in questione stia indagando sull’accaduto.

Il caso mostra un punto debole spesso sottovalutato nella sicurezza informatica: anche sistemi di verifica tecnicamente solidi, come l’autenticazione del dominio email, possono essere sfruttati se la fonte a monte viene impersonata con successo. Per un’azienda che serve oltre 80 milioni di clienti nel mondo, la questione non riguarda solo la reputazione, ma la fiducia stessa nel meccanismo con cui le richieste governative legittime vengono validate.

Impatto della violazione: chi rischia e cosa cambia

L’entità della fuga dati resta contenuta, almeno stando a quanto dichiarato finora. ZachXBT ha definito l’incidente limitato nel numero di account coinvolti, senza però fornire una cifra precisa. Diversi utenti impattati hanno già ricevuto un’email di notifica ufficiale da Revolut, che li informa dell’accaduto e dei dati coinvolti.

Perché i clienti ad alto patrimonio sono nel mirino

Secondo l’investigatore, l’attacco potrebbe aver preso di mira in modo specifico i clienti ad alto patrimonio della piattaforma — un dettaglio che, se confermato, solleva interrogativi sul fatto che la richiesta fraudolenta fosse mirata fin dall’inizio a un segmento specifico di utenti con conti più consistenti, piuttosto che a un campione casuale. Revolut non ha confermato né la dimensione del gruppo colpito né i criteri con cui gli utenti coinvolti sono stati selezionati.

Per chi ha visto la propria identità e la propria cronologia finanziaria — inclusi i movimenti in Bitcoin — finire nelle mani di un soggetto non autorizzato, il rischio concreto riguarda furti d’identità, tentativi di truffa mirata e phishing costruiti su misura grazie ai dati reali già in possesso degli attaccanti. Le linee guida dell’autorità britannica per la protezione dei dati elencano proprio questi scenari come le conseguenze tipiche di una violazione di dati personali, insieme all’obbligo per le aziende di notificare gli incidenti alle autorità entro 72 ore quando possibile. Non è chiaro, al momento, se Revolut abbia già informato un regolatore o quando l’azienda sia venuta a conoscenza della richiesta fraudolenta.

La vicenda arriva mentre Revolut continua ad ampliare la propria offerta tra banking tradizionale e servizi digitali: lo scorso 26 agosto l’azienda ha lanciato la propria stablecoin in euro EURR in Danimarca, Polonia e Portogallo, e il 3 settembre ha ottenuto l’approvazione condizionata per una banca statunitense a Stamford, in Connecticut, con una dotazione di capitale iniziale di circa 95 milioni di dollari. Nessuno di questi sviluppi risulta collegato direttamente alla fuga dati Revolut, ma mostra quanto sia cresciuta l’esposizione dell’azienda — e dei suoi clienti — su più fronti regolatori e finanziari.

FAQ

Chi ha segnalato la fuga dati di Revolut?

L’investigatore on-chain ZachXBT ha segnalato la presunta fuga dati che ha coinvolto Revolut, condividendo su Telegram l’avviso ufficiale ricevuto dagli utenti.

Cosa ha causato la fuga dati in Revolut?

Revolut ha trattato per errore una richiesta fraudolenta, inviata da un mittente non autorizzato ma proveniente dal dominio email ufficiale di un’agenzia governativa, come se fosse legittima, causando così la fuga dati.

Che tipo di dati degli utenti sono stati compromessi nella fuga dati?

Tra i dati compromessi figurano nomi, informazioni di contatto, documenti d’identità, selfie di verifica, IBAN, estratti conto, cronologie di prelievo e transazioni complete, incluse quelle in Bitcoin.

Chi è stato probabilmente preso di mira nella violazione dei dati di Revolut?

La violazione sembra aver riguardato un numero limitato di account, appartenenti probabilmente a clienti ad alto patrimonio della piattaforma.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.