Revolut, una delle maggiori banche digitali europee, ha ammesso, nella giornata di sabato 12 settembre 2026, di aver consegnato informazioni riservate di alcuni propri clienti a soggetti che si erano falsamente presentati come rappresentanti di un’autorità pubblica.
Fondata nel 2015 nel Regno Unito, Revolut è nata come applicazione per pagamenti e cambio valuta ed è progressivamente diventata una piattaforma finanziaria che offre conti correnti, carte, risparmio, investimenti, criptovalute e altri servizi bancari. Oggi dichiara oltre 80 milioni di clienti nel mondo e opera in più di 40 Paesi.
La società ha spiegato di aver individuato una “sofisticata truffa di impersonificazione esterna”: qualcuno aveva utilizzato un indirizzo email appartenente realmente al dominio di un ente governativo per presentare richieste di informazioni che apparivano legittime. Revolut le ha quindi evase, consegnando dati a persone che non avevano alcun diritto di riceverli.
La banca assicura però che i propri sistemi informatici non sono stati violati e i fondi dei clienti non sono stati toccati.
Il 16 settembre emerge il collegamento con l’Italia
La vicenda ha assunto una dimensione italiana nelle ultime ore. Mercoledì 16 settembre, fonti vicine alla Polizia Postale hanno riferito che le richieste sarebbero arrivate da una casella con dominio @pec.interno.it, riconducibile al Ministero dell’Interno. Secondo le prime ricostruzioni, si tratterebbe di una PEC della Prefettura di Reggio Calabria della quale i criminali sarebbero riusciti a prendere realmente il controllo.
Non sarebbe quindi stato un semplice indirizzo creato per assomigliare a quello del Viminale. La comunicazione arrivava attraverso un account istituzionale autentico, elemento che ha reso l’inganno molto più credibile.
La Polizia Postale sta indagando con le ipotesi di accesso abusivo a sistema informatico e frode informatica, cercando di capire come la casella sia stata compromessa, per quanto tempo e quali altre attività possano essere state effettuate attraverso quell’account.
Coinvolti circa 680 clienti
Revolut non ha comunicato pubblicamente il numero esatto delle persone interessate, parlando soltanto di un gruppo “limitato” e affermando di avere informato direttamente tutti i clienti coinvolti. Secondo il Financial Times, sarebbero però 680. La maggior parte si troverebbe in Francia e Svizzera, con persone interessate complessivamente in numerosi Paesi europei.
L’attacco sembra essere stato particolarmente orientato verso clienti con patrimoni importanti in criptovalute, le cosiddette “crypto whales”. Fra le persone coinvolte compare anche Mark Karpelès, ex amministratore delegato della piattaforma Mt. Gox.
Passaporti, IBAN ed estratti conto: quali dati sono stati consegnati
Nelle comunicazioni inviate ai clienti coinvolti, Revolut ha indicato tra i dati potenzialmente trasmessi: nome e data di nascita, indirizzo di casa, email, numero di telefono, copie di passaporti e patenti, selfie utilizzati per la verifica dell’identità, IBAN, estratti conto e cronologie delle transazioni.
È un insieme di informazioni particolarmente delicato perché permette di costruire tentativi di frode estremamente credibili e, nel caso di persone con grandi patrimoni in criptovalute, può esporre anche a rischi di estorsione.
Il Wall Street Journal riferisce che alcuni dati sarebbero già stati pubblicati come prova dagli autori dell’attacco e che Revolut sarebbe stata successivamente minacciata con la diffusione di ulteriori informazioni.
Non si sarebbe trattato di una singola richiesta inviata e accettata per errore. Secondo quanto riferito al Financial Times dagli stessi presunti responsabili, i contatti con Revolut sarebbero andati avanti per settimane, forse per circa due mesi, con più richieste relative a clienti differenti.
Soltanto dopo una successione di richieste Revolut avrebbe iniziato a nutrire dubbi e avrebbe contattato direttamente l’amministrazione italiana apparentemente mittente. A quel punto sarebbe emerso che la Prefettura non aveva effettuato quelle richieste. Revolut ha quindi bloccato l’indirizzo, avvisato l’ente interessato, le forze dell’ordine, le autorità di protezione dei dati e i regolatori finanziari.
I soldi risultano al sicuro, i dati molto meno
Per gli oltre 80 milioni di utenti Revolut non significa che i loro conti siano stati violati. La società ribadisce che l’incidente non ha coinvolto la propria infrastruttura bancaria e che non risultano fondi sottratti come conseguenza diretta dell’attacco.
I clienti interessati sono stati contattati direttamente. Per loro, tuttavia, il rischio non finisce con la chiusura della falla. Chi possiede documenti, IBAN, indirizzo e cronologia delle transazioni può costruire telefonate, email o messaggi di phishing contenenti informazioni reali sul conto, rendendo molto più difficile distinguere una truffa da una comunicazione autentica.
Ora le indagini dovranno stabilire come sia stata compromessa la PEC italiana e se i controlli effettuati dalla banca prima di consegnare informazioni tanto sensibili siano stati sufficienti.