Violazione dati crypto Revolut, attacco agli utenti miliardari

Una banda di hacker sostiene di aver sottratto a Revolut i dati personali di 680 clienti scelti non a caso, ma perché possessori di grandi patrimoni in criptovalute. La violazione dati crypto Revolut, confermata dalla fintech londinese lo scorso 12 settembre, si è rivelata negli ultimi giorni molto più sofisticata di un semplice tentativo di phishing: gli attaccanti avrebbero usato l’identità di un’agenzia governativa italiana per convincere la banca a consegnare informazioni riservate sui suoi clienti più facoltosi.

Punti chiave

• Gli hacker dichiarano di aver scaricato i dati personali di 680 conti crypto di clienti Revolut ad alto patrimonio.
• I target sarebbero stati selezionati tramite analisi blockchain per individuare account con consistenti riserve in criptovalute.
• La maggior parte dei clienti coinvolti proviene da Svizzera e Francia, ma i dati riguardano anche residenti in 31 altri paesi, tra cui Regno Unito, Germania e Spagna.
• Le richieste fraudolente sarebbero passate attraverso il sistema di posta certificata italiano PEC, con la Polizia Postale ora al lavoro sul caso.
• Revolut sostiene di non essere stata contattata dagli aggressori e di non aver ricevuto alcuna richiesta di riscatto.

Un attacco mirato ai grandi patrimoni crypto

Gli aggressori non hanno colpito a caso. Secondo quanto riferito, il gruppo ha usato l’analisi blockchain per identificare quali conti Revolut custodissero patrimoni significativi in criptovalute, arrivando così a selezionare 680 profili definiti “whale”, cioè grandi investitori. Il crypto investigator ZachXBT, che ha diffuso pubblicamente la notifica ricevuta da Revolut, ha parlato di un incidente contenuto nei numeri ma chiaramente orientato verso utenti ad alto patrimonio.

La distribuzione geografica dei clienti colpiti racconta una storia europea: la maggioranza risiede in Svizzera e Francia, ma la lista si allunga fino a coprire altri 31 paesi, tra cui Regno Unito, Germania e Spagna. Non un attacco locale, quindi, ma una campagna che ha attraversato buona parte del continente sfruttando lo stesso canale di richiesta dati.

Tra le informazioni finite nelle mani degli hacker, secondo la notifica inviata ai clienti e le integrazioni di ZachXBT, figurano date di nascita, indirizzi postali ed email, numeri di telefono, copie di documenti d’identità come passaporti e patenti, oltre a possibili selfie di verifica, estratti conto e cronologie delle transazioni. Sarebbero stati esposti anche IBAN, cronologie dei prelievi, occupazioni professionali e dati relativi ad attività in Bitcoin.

Il meccanismo del furto: PEC e la falsa identità delle forze dell’ordine

Il cuore della vicenda sta nel modo in cui i truffatori hanno convinto Revolut a collaborare. Gli hacker avrebbero richiesto ripetutamente dettagli riservati sui conti — indirizzi, numeri di telefono, cronologie delle transazioni — sostenendo che servissero per attività investigative delle forze dell’ordine in corso. Le comunicazioni scambiate con Revolut mostrerebbero uno scambio di dati con quella che sembrava un’articolazione del ministero dell’Interno italiano, avvenuto tramite La Posta Elettronica Certificata, il sistema PEC.

La PEC è la rete sicura utilizzata in Italia da autorità, aziende e cittadini per la corrispondenza ufficiale e legale: l’equivalente digitale della posta raccomandata, con valore legale equiparato a quello della carta. Proprio questo status ufficiale l’ha resa uno strumento credibile per chi voleva farsi passare per un ente statale.

Le indagini italiane hanno individuato l’account compromesso in quello della Prefettura di Reggio Calabria, che ha successivamente smentito di aver inviato richieste a Revolut. Questo lascia aperta la domanda centrale: la casella PEC è stata effettivamente violata da qualcuno esterno, oppure qualcun altro ne aveva già il controllo? La Polizia Postale italiana sta indagando per accesso abusivo a un sistema informatico e frode informatica, secondo quanto riportato dall’agenzia ANSA.

Il caso non è isolato. L’agenzia italiana per la cybersicurezza CERT-AGID aveva già segnalato nel mese di giugno il rischio legato all’abuso del sistema PEC, avvertendo che la certificazione garantisce la consegna di un messaggio ma non l’identità reale di chi controlla la casella. Dall’inizio del 2026, l’agenzia ha gestito oltre 650 casi di account PEC abusati o creati per scopi illeciti, un dato che inquadra la vicenda Revolut in un problema più ampio e già noto alle autorità.

Un contesto regolatorio già teso per Revolut

La fintech arriva a questo episodio dopo un anno complicato sul fronte regolatorio in Italia. L’Antitrust italiano aveva già sanzionato Revolut con una multa di 11,5 milioni di euro per aver diffuso informazioni ingannevoli sui servizi di investimento offerti ai clienti. Un precedente che, secondo alcune ricostruzioni, potrebbe aver reso l’azienda particolarmente esposta a uno schema costruito attorno alla fiducia nelle comunicazioni ufficiali italiane.

Perché conta: se un canale di comunicazione trattato come inequivocabilmente affidabile — un dominio governativo certificato — può essere sfruttato per estrarre dati sensibili senza toccare i sistemi interni della banca, il problema non riguarda solo Revolut. Riguarda qualsiasi istituto finanziario che riceve richieste legalmente vincolanti da autorità pubbliche e le tratta come automaticamente genuine solo perché arrivano da un indirizzo ufficiale.

Minacce di riscatto e la linea di Revolut

Gli aggressori hanno allestito un sito web dove pubblicano screenshot oscurati dei dati che sostengono di aver sottratto alla banca, minacciando di rivelare ulteriori informazioni se Revolut non paga un riscatto.

Revolut, dal suo canto, mantiene una posizione netta: non è stata contattata dai responsabili della violazione dati crypto Revolut e non ha ricevuto alcuna richiesta di riscatto. La società ha dichiarato di aver bloccato l’indirizzo del mittente non appena individuato lo schema fraudolento, e di aver informato l’agenzia governativa coinvolta, le forze dell’ordine, le autorità di protezione dei dati e i regolatori finanziari. Un portavoce ha definito l’episodio una truffa esterna basata sull’impersonificazione, precisando che sistemi, database e fondi dei clienti sono rimasti al sicuro.

La società ha inoltre confermato di aver contattato direttamente i clienti coinvolti, pur senza confermare pubblicamente quale agenzia governativa fosse stata impersonata, citando l’indagine di polizia in corso e obblighi di riservatezza. Anche l’Information Commissioner’s Office britannico ha aperto un fascicolo sulla vicenda, aggiungendo una dimensione legata alla protezione dei dati all’inchiesta penale italiana.

Cosa cambia per banche e piattaforme crypto

L’incidente mostra come dati finanziari sensibili possano finire fuori controllo senza che nessuno violi direttamente i sistemi di una banca. Se un aggressore riesce a impossessarsi di un canale governativo di comunicazione considerato affidabile, la verifica tecnica del dominio non basta più a garantire l’autenticità di una richiesta. Per gli istituti che gestiscono conti con esposizione a Bitcoin e altre criptovalute, il rischio è doppio: collegare documenti d’identità e dati bancari a cronologie di transazioni blockchain può rivelare non solo l’identità finanziaria di un cliente, ma anche il suo legame con indirizzi o operazioni altrimenti difficili da ricondurre a una persona specifica.

Le indagini italiane si concentreranno ora non solo su come sia stato compromesso l’account governativo, ma anche su quali controlli di autenticazione Revolut abbia applicato prima di rilasciare i dati, e se fossero necessarie verifiche aggiuntive prima di rispondere a richieste apparentemente ufficiali.

FAQ

Come hanno individuato gli hacker i 680 conti crypto di Revolut?

Gli hacker hanno utilizzato l’analisi blockchain per selezionare i conti Revolut con consistenti riserve in criptovalute.

Quale metodo hanno usato gli hacker per ottenere i dati riservati dei clienti Revolut?

Gli hacker si sono spacciati per le forze dell’ordine e hanno utilizzato il sistema di posta certificata italiano PEC per richiedere a Revolut dettagli riservati sui conti.

Qual è il ruolo del sistema PEC nella violazione dati?

La PEC è il sistema di posta elettronica certificata utilizzato in Italia, che conferisce ai messaggi valore legale equiparato alla posta raccomandata. È stata usata dagli hacker per richiedere dati sotto la falsa copertura di un’autorità governativa.

Revolut ha ricevuto richieste di riscatto legate alla violazione?

Revolut sostiene di non essere stata contattata dai responsabili dell’attacco e di non aver ancora ricevuto alcuna richiesta di riscatto.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.