Revolut, dati dei clienti consegnati dopo una richiesta fraudolenta

La richiesta aveva l’aspetto di un atto istituzionale: proveniva da un indirizzo inserito nel dominio autentico di un’autorità pubblica e disponeva dei segnali tecnici necessari per sembrare legittima. Revolut ha risposto consegnando documenti, fotografie di verifica e informazioni finanziarie di alcuni clienti. Solo dopo è emerso che dietro quella corrispondenza non c’era un funzionario, ma un soggetto non autorizzato. Nessuna incursione nei server della banca: gli aggressori hanno colpito il punto in cui tecnologia, procedure e fiducia si incontrano.

Una richiesta autentica nella forma, fraudolenta nella sostanza

La dinamica emersa finora rovescia lo schema classico del data breach. Gli attaccanti, secondo la ricostruzione disponibile, non hanno violato database, applicazioni o infrastrutture interne di Revolut. Hanno invece sfruttato un canale esterno considerato affidabile: una casella di posta appartenente al dominio reale di un’autorità pubblica. Il Corriere della Sera identifica l’origine della richiesta in una PEC compromessa riconducibile alla Polizia Postale italiana; Revolut, nelle dichiarazioni diffuse ad altre testate, non ha indicato pubblicamente il nome dell’istituzione coinvolta, limitandosi a parlare del dominio legittimo di un’agenzia governativa.

Da quell’indirizzo sarebbero partite richieste fraudolente formulate in modo da apparire come legittime domande di accesso a informazioni bancarie. Richieste di questo genere fanno parte dell’attività ordinaria degli intermediari finanziari, chiamati a collaborare con magistratura, forze di polizia, autorità fiscali e organismi di vigilanza nel rispetto delle procedure applicabili. In questo caso, però, dietro il mittente formalmente attendibile non c’era il soggetto autorizzato.

Revolut ha definito l’episodio una sofisticata truffa di impersonificazione esterna. Dopo aver individuato l’inganno, la società afferma di avere bloccato l’indirizzo utilizzato, avvertito l’ente interessato e coinvolto le forze dell’ordine e le autorità di regolamentazione competenti. La fintech sostiene inoltre che l’incidente abbia riguardato un gruppo molto limitato di clienti, contattati direttamente. Al 15 settembre 2026, tuttavia, non ha comunicato pubblicamente un numero preciso né chiarito per quanto tempo le richieste siano state accolte.

Quali informazioni sono state consegnate

La portata dell’incidente non si misura soltanto contando le persone coinvolte. Conta soprattutto la qualità delle informazioni finite nelle mani di soggetti non autorizzati. Le notifiche inviate ai clienti e le ricostruzioni pubblicate dalle testate specializzate indicano che i dati potenzialmente divulgati possono comprendere nome e cognome, data di nascita, indirizzo, email, numero di telefono e occupazione.

A questi elementi si aggiunge il materiale raccolto durante le procedure di identificazione, il cosiddetto KYC, Know Your Customer: copie di passaporti, carte d’identità o patenti e fotografie scattate per la verifica facciale. Sul versante finanziario risultano potenzialmente coinvolti IBAN, estratti conto, prelievi e cronologie delle transazioni, comprese in alcuni casi le operazioni legate a Bitcoin. Non significa che ciascun cliente interessato abbia subito l’esposizione di tutte queste categorie: l’esatto insieme di dati può cambiare da un profilo all’altro e dovrebbe essere specificato nella comunicazione individuale ricevuta dall’utente.

Revolut ha precisato che i fondi e i sistemi della banca non sono stati compromessi. È una distinzione importante: non risultano sottratte, attraverso questo episodio, password o credenziali necessarie per entrare direttamente nei conti. Ma sarebbe sbagliato concludere che il rischio sia trascurabile. Un dossier composto da documento, fotografia, recapiti e movimenti finanziari permette di costruire comunicazioni estremamente credibili e di personalizzare una frode con dettagli che soltanto la vittima, la banca o un’autorità dovrebbero conoscere.

Un truffatore potrebbe citare un bonifico reale, una data, un beneficiario, una valuta o una precedente operazione per convincere il cliente di trovarsi davanti all’assistenza della banca. Potrebbe anche fingersi un agente di polizia, un addetto antifrode o un funzionario incaricato di mettere “in sicurezza” il conto. È il passaggio più delicato: i dati rubati non sono necessariamente la frode finale, ma il materiale con cui prepararla.

Il “Man in the Mail”: quando viene colpita la relazione di fiducia

La tecnica è riconducibile alla famiglia degli attacchi Business Email Compromise e viene talvolta descritta come Man in the Mail. L’aggressore prende il controllo di una casella reale, oppure riesce a creare o utilizzare un account non autorizzato all’interno di un’infrastruttura legittima, quindi osserva o imita il modo in cui l’organizzazione comunica. A quel punto non deve contraffare grossolanamente il mittente: agisce dall’interno del rapporto fiduciario già esistente.

È una differenza sostanziale rispetto al phishing più comune. In un messaggio tradizionale, il dominio contiene spesso errori, lettere sostituite o estensioni insolite. Qui, invece, la provenienza tecnica può risultare coerente con il dominio ufficiale. I sistemi di autenticazione della posta elettronica aiutano a stabilire se un messaggio è stato inviato attraverso server autorizzati, ma non possono certificare che la persona davanti alla tastiera abbia titolo per formulare quella specifica richiesta.

La PEC, inoltre, attesta trasmissione, consegna e integrità del messaggio secondo le regole del servizio; non può neutralizzare gli effetti di credenziali sottratte o di una casella utilizzata abusivamente. Una comunicazione può dunque essere autentica dal punto di vista del canale e fraudolenta quanto alla volontà di chi la invia. Il caso Revolut mostra con particolare chiarezza questa frattura tra autenticità tecnica e legittimità sostanziale.

Per questo, quando una richiesta comporta la divulgazione di documenti e informazioni finanziarie, la sola verifica dell’indirizzo non dovrebbe esaurire il controllo. Servono procedure multilivello: conferme attraverso recapiti acquisiti indipendentemente, verifica dell’autorità e del funzionario richiedente, controllo della base giuridica, delimitazione dei dati necessari e autorizzazioni interne proporzionate alla sensibilità del materiale. Queste misure non dimostrano, da sole, quali controlli siano mancati nel caso specifico, sul quale restano aspetti da chiarire; indicano però il tipo di difesa necessario contro un mittente tecnicamente valido ma sostanzialmente ostile.

Perché documenti e movimenti valgono più di una password

Una password può essere cambiata. Un indirizzo email può essere sostituito e una carta bloccata. Un volto, una data di nascita e un documento d’identità hanno invece una durata molto più lunga. L’esposizione di questi dati può alimentare tentativi di furto d’identità, apertura fraudolenta di servizi, falsificazione di profili, social engineering e campagne di phishing mirato.

Le fotografie usate per la verifica facciale meritano un’attenzione particolare. La loro disponibilità non implica automaticamente che un criminale possa superare i sistemi biometrici, che possono includere controlli di vitalità e altre misure antifrode. Offre però materiale utile per impersonare la vittima, creare documenti manipolati o sperimentare tecniche di aggiramento. Anche le cronologie finanziarie possono rivelare abitudini, disponibilità economiche, rapporti commerciali, spostamenti e piattaforme utilizzate.

Il Comitato europeo per la protezione dei dati ricorda che, nella valutazione di una violazione, occorre considerare sia la probabilità sia la gravità delle conseguenze. Tra i danni possibili indica il furto d’identità, la frode, le perdite economiche e il pregiudizio reputazionale. Quando il data breach può determinare un rischio elevato per le persone, il GDPR prevede che gli interessati siano informati senza ingiustificato ritardo e ricevano una spiegazione chiara della natura dell’incidente, delle conseguenze probabili e delle misure adottate.

Che cosa devono fare i clienti coinvolti

Chi ha ricevuto una comunicazione da Revolut dovrebbe innanzitutto leggerla direttamente nell’app o accedendo al servizio attraverso i canali abituali, evitando collegamenti contenuti in email inattese. È opportuno verificare quali categorie di dati siano indicate e conservare la notifica: servirà come riferimento qualora emergano contatti sospetti o operazioni non riconosciute.

Il controllo del conto non dovrebbe limitarsi ai giorni immediatamente successivi. Informazioni così dettagliate possono essere utilizzate anche dopo settimane o mesi, quando l’attenzione sull’incidente sarà diminuita. Conviene attivare tutte le notifiche sulle operazioni, esaminare periodicamente transazioni e beneficiari e segnalare subito alla banca qualsiasi movimento anomalo.

Occorre diffidare in particolare di chi telefona o scrive sostenendo di conoscere il data breach e propone di trasferire il denaro verso un “conto sicuro”, annullare un bonifico, comunicare un codice ricevuto via SMS, installare un programma di assistenza remota o sostituire urgentemente le credenziali. Revolut avverte che i truffatori possono impersonare funzionari pubblici, forze di polizia o rappresentanti della stessa azienda. Un operatore legittimo non dovrebbe chiedere di consegnare codici di sicurezza o spostare denaro per proteggerlo.

Cambiare password resta una precauzione ragionevole soprattutto se la stessa combinazione è stata riutilizzata altrove, ma non risolve il rischio principale di questo episodio, perché Revolut afferma che le credenziali di accesso non sono state sottratte dai propri sistemi. Più utile è rafforzare la sicurezza dell’email collegata al conto, utilizzare una password unica e attivare l’autenticazione a più fattori, dato che la casella di posta è spesso il punto di partenza per recuperare l’accesso ad altri servizi.

Chi teme un uso improprio del proprio documento può conservare una cronologia degli episodi sospetti e presentare rapidamente denuncia qualora emergano tentativi concreti di impersonificazione. Se la comunicazione ricevuta non è sufficientemente dettagliata, l’interessato può chiedere a Revolut conferma dei dati che lo riguardano, delle categorie divulgate e delle misure adottate, esercitando i diritti previsti dalla normativa sulla protezione dei dati.

La lezione per banche e pubbliche amministrazioni

L’incidente non riguarda soltanto una fintech. Espone un problema più ampio nella catena attraverso cui istituzioni e aziende si scambiano informazioni riservate. La sicurezza di una banca può essere elevata, ma una procedura resta vulnerabile se dipende dall’affidabilità assoluta di un account esterno. In una relazione digitale, la protezione complessiva coincide spesso con quella dell’anello meno controllato.

Per le amministrazioni pubbliche significa proteggere le caselle istituzionali come infrastrutture critiche: autenticazione forte, registrazione degli accessi, revisione degli account, allarmi sulle anomalie e revoca tempestiva delle credenziali. Per banche e piattaforme significa applicare il principio del minimo dato necessario e introdurre verifiche fuori banda prima di consegnare dossier ad alto impatto, specialmente quando una richiesta è insolita per volume, provenienza, giurisdizione o tipologia di informazioni.

Restano domande essenziali: quale istituzione sia stata compromessa; come sia avvenuto l’accesso alla casella; quante richieste siano state inviate; quali controlli siano stati eseguiti prima della consegna; quanti clienti e Paesi siano effettivamente coinvolti. Fino a quando aziende e autorità non forniranno risposte complete, è prudente separare i fatti confermati dalle ricostruzioni ancora parziali.

Un punto, tuttavia, è già chiaro. La violazione più efficace non sempre passa attraverso una falla nel codice. Può attraversare una procedura formalmente corretta, presentarsi con credenziali valide e ottenere dati perché tutti i segnali tecnici dicono che il mittente è quello giusto. Il vero bersaglio, in questo caso, non era soltanto un sistema informatico: era la fiducia istituzionale su cui quel sistema aveva imparato a fare affidamento.