Revolut, violazione dati: cosa è successo e come proteggerti?

Negli ultimi giorni la notizia di una violazione dati Revolut è circolata rapidamente, accompagnata da cifre discordanti, rivendicazioni sul dark web e ricostruzioni ancora parziali. In questa analisi MoneyViz mette in fila solo i fatti confermati dalle fonti coinvolte — Revolut, autorità italiane, testate specializzate — separandoli da ciò che resta ancora oggetto di indagine, ed evitando qualunque tono allarmistico che non sia supportato dai dati.

Non è un episodio isolato da liquidare in fretta, ma non va nemmeno amplificato oltre ciò che sappiamo con certezza. L’obiettivo di questo articolo è pratico: capire cosa è realmente successo, perché la tecnica usata contro Revolut è un rischio concreto per chiunque operi con un broker o un exchange — non solo per chi ha un conto Revolut — e cosa puoi fare oggi, con metodo, per proteggerti.

La vicenda è ancora in divenire: la Procura di Reggio Calabria, la Direzione Nazionale Antimafia e il Garante per la protezione dei dati personali hanno aperto verifiche i cui esiti definitivi non sono ancora pubblici. Aggiorneremo questo articolo man mano che arrivano comunicazioni ufficiali.

Cosa è successo davvero nella violazione dati di Revolut?

In breve: il 12 settembre 2026 Revolut ha confermato di aver comunicato dati personali di circa 680 clienti a un soggetto non autorizzato, ingannata da un’email proveniente dal dominio ufficiale di un ente pubblico italiano. Ecco la cronologia dei fatti confermati.

• Per alcuni mesi prima della scoperta — secondo quanto il gruppo responsabile dell’attacco ha dichiarato al Financial Times, l’accesso alla casella di posta istituzionale sarebbe durato circa sei mesi prima di essere individuato. Dichiarazione dei responsabili dell’attacco, non ancora confermata in modo indipendente dagli inquirenti.
• 12 settembre 2026 — Revolut conferma a TechCrunch di aver identificato “una sofisticata truffa di impersonificazione esterna in cui un soggetto non autorizzato ha utilizzato l’email di dominio di un ente governativo legittimo per inviare richieste fraudolente di informazioni”. Un dipendente, ritenendo la richiesta proveniente da un’autorità pubblica autorizzata, ha rilasciato un lotto di dati clienti. Fatto confermato da Revolut.
• 12-14 settembre 2026 — emergono i dettagli sull’ente coinvolto: secondo Euronews la richiesta fraudolenta proveniva da un account istituzionale della Prefettura di Reggio Calabria. Non è ancora stabilito con certezza se la casella sia stata violata direttamente o clonata dall’esterno — è uno dei punti su cui l’indagine è tuttora aperta. Fatto in corso di accertamento.
• 14 settembre 2026 — il ricercatore di sicurezza ZachXBT rende pubblica la notifica che Revolut ha inviato ai clienti coinvolti, segnalando che l’episodio sembra mirato in particolare a utenti con patrimoni elevati, inclusi detentori di criptovalute. Riportato da Help Net Security.
• 16-17 settembre 2026 — un gruppo che si firma iamnotavillain rivendica pubblicamente l’attacco su un sito nel dark web, chiedendo un riscatto di 3 milioni di dollari (6.000 XMR in Monero) entro 24 ore e minacciando di vendere a organizzazioni criminali 147 GB di dati, se non pagato. Il gruppo dichiara al Financial Times di non aver ancora contattato privatamente Revolut prima di rendere pubblica la richiesta — una modalità insolita rispetto alle estorsioni digitali, che di norma restano private finché il bersaglio non rifiuta di pagare. Rivendicazione dei responsabili dell’attacco; Revolut dichiara di non aver ricevuto alcuna richiesta diretta.
• 16-17 settembre 2026 — la Procura di Reggio Calabria apre un’indagine per il reato di intrusione in un sistema informatico di pubblico interesse (art. 615-ter c.p.); si attiva anche la Direzione Nazionale Antimafia e Antiterrorismo, data la matrice che coinvolge un ente pubblico. Il Garante per la protezione dei dati personali avvia verifiche immediate sulla sicurezza degli accessi delle banche italiane e apre un canale di scambio informazioni con l’autorità lituana, Paese dove Revolut ha sede legale come istituto bancario. Fatti confermati dalle autorità italiane, riportati da ANSA ed Euronews.

Come hanno ottenuto i dati? La tecnica e la procedura usate

Nessun sistema informatico di Revolut risulta violato tecnicamente: il canale di accesso è stata una procedura di richiesta dati formalmente corretta, abusata attraverso un account istituzionale. Ecco come si è sviluppata la dinamica, passo per passo.

• La tecnica: gli analisti che hanno ricostruito il caso la definiscono con il termine inglese “spray and pray” (letteralmente “spruzza e prega”: si mandano molte richieste generiche sperando che una parte vada a segno). Il gruppo responsabile ha raccolto centinaia di identificativi di transazioni in criptovalute — dati pubblici, leggibili da chiunque sulla blockchain — e li ha inseriti in richieste formali indirizzate a Revolut, chiedendo di identificare il titolare del conto dietro ogni transazione.
• Il contenitore legale usato: le richieste erano presentate come European Investigation Orders (EIO, ordini europei di indagine), lo strumento previsto dal regolamento europeo e-Evidence, diventato operativo il 18 agosto 2026 — meno di un mese prima che la truffa emergesse. Il regolamento consente alle autorità giudiziarie di uno Stato UE di richiedere direttamente dati a operatori che offrono servizi in altri Paesi dell’Unione, senza passare dalla rogatoria internazionale tradizionale.
• Perché le richieste sono apparse credibili: formato, firme e riferimenti normativi nelle richieste erano corretti, verosimilmente ripresi da esempi reali o generati con strumenti di intelligenza artificiale. Il mittente era un indirizzo di posta elettronica certificata (PEC) riconducibile a un ente pubblico reale — non un dominio contraffatto o simile all’originale.
• La risposta di Revolut: per ogni richiesta, l’azienda inviava una cartella per cliente contenente documenti d’identità, selfie di verifica KYC (“know your customer”, identificazione obbligatoria del cliente), saldi e movimenti. I file venivano inviati come archivi protetti da password, con la password comunicata in un messaggio separato — una prassi di sicurezza comune, ma insufficiente se il primo canale, l’email istituzionale, è già compromesso o impersonato.

Per approfondire come si distribuisce la responsabilità tra i soggetti coinvolti in questa dinamica — l’ente la cui casella è stata usata, Revolut che ha risposto alla richiesta, il gruppo che ha orchestrato l’operazione — vedi l’analisi di Matteo Flora, Ciao Internet #1595 (YouTube).

Perché il canale usato (una casella PEC) è un problema più ampio di Revolut?

La casella di posta elettronica certificata (PEC) da cui sono partite le richieste fraudolente ha valore legale in Italia, ma — secondo le ricostruzioni disponibili — non risultava protetta da autenticazione a due fattori: si comportava come una normale casella email protetta dalla sola password. Non è ancora stabilito con certezza se sia stata violata direttamente o clonata dall’esterno; è uno dei punti sotto indagine.

Il problema, se confermato, non riguarda solo questo singolo episodio: Cert-AGID, il gruppo di risposta agli incidenti informatici della Pubblica Amministrazione italiana, riporta di aver gestito oltre 600 casi di abuso di PEC dall’inizio del 2020. È un dato che indica una fragilità ricorrente del canale, non un incidente isolato.

Cosa hanno fatto finora le autorità italiane?

Sul piano investigativo risultano coinvolte più autorità, ciascuna per la propria competenza; sul piano parlamentare è stata depositata un’interrogazione urgente. Stato aggiornato al 19 settembre 2026:

• Polizia Postale, Agenzia per la Cybersicurezza Nazionale (ACN) e Banca d’Italia hanno aperto verifiche.
• La Procura di Reggio Calabria indaga per intrusione in un sistema informatico di pubblico interesse; si è attivata anche la Direzione Nazionale Antimafia e Antiterrorismo, data la matrice che coinvolge un ente pubblico.
• Il Garante per la protezione dei dati personali ha avviato verifiche sulla sicurezza degli accessi delle banche italiane e un canale di scambio informazioni con l’autorità lituana, Paese dove Revolut ha sede legale come istituto bancario.
• Sul piano parlamentare, la deputata Giulia Pastorella (gruppo Azione) ha presentato un’interrogazione urgente al Governo, chiedendo quante altre email siano partite dalla stessa casella PEC e quante altre aziende siano state coinvolte dalla stessa modalità di attacco.

Non risultano, alla data di questo aggiornamento, dichiarazioni pubbliche aggiuntive da parte del Ministero dell’Interno.

Quali dati sono stati esposti e quanti clienti sono coinvolti?

Secondo la notifica ufficiale inviata da Revolut ai clienti coinvolti, i dati esposti includono data di nascita, indirizzo postale ed email, numero di telefono, copie di documenti d’identità (passaporti e patenti), selfie di verifica, estratti conto e storico delle transazioni. Il numero di clienti coinvolti riportato in modo coerente da più fonti è di circa 680.

Il ricercatore ZachXBT ha segnalato che la notifica di Revolut non menzionava esplicitamente alcuni elementi che il gruppo responsabile dell’attacco avrebbe comunque in mano, secondo le proprie dichiarazioni: IBAN, storico dei prelievi, occupazione lavorativa e cronologia delle transazioni in bitcoin. Va letto come un’informazione non ancora confermata da Revolut, ma è uno dei motivi per cui conviene adottare cautele anche oltre l’elenco ufficiale.

Chi ha rivendicato l’attacco e cosa chiede il gruppo “iamnotavillain”?

Un gruppo che si firma “iamnotavillain” ha reso pubblica il 17 settembre 2026 una richiesta di riscatto di 3 milioni di dollari (6.000 XMR, la criptovaluta Monero, scelta per la sua tracciabilità ridotta), minacciando di vendere i dati sottratti se non pagato entro 24 ore. Ha pubblicato un video di 60 secondi che mostrerebbe una selezione dei documenti, senza che questo costituisca però una prova indipendente della quantità reale di dati in loro possesso.

I tuoi fondi su Revolut sono al sicuro?

Sì, secondo le comunicazioni ufficiali i sistemi e i fondi dei clienti Revolut non risultano compromessi. Revolut ha dichiarato di aver bloccato l’indirizzo email usato per la truffa non appena individuata, e di aver allertato l’ente pubblico coinvolto, le forze dell’ordine e i regolatori competenti.

Questo non significa che il rischio sia azzerato per i clienti coinvolti: con documenti d’identità e dati di contatto in circolazione, il pericolo concreto non è un prelievo diretto dal conto, ma un tentativo successivo di impersonificazione — verso di te o, usando i tuoi stessi dati, verso altri servizi finanziari a tuo nome. È il tema del prossimo paragrafo, ed è la parte più rilevante di questa vicenda per chi usa un broker o un exchange qualsiasi, non solo Revolut.

Perché questa vicenda è un rischio anche se non hai un conto Revolut?

Il punto centrale non è “cosa è successo a Revolut”, ma il metodo usato: un ente reale, con un’email reale, che chiede dati a un dipendente che li rilascia in buona fede. Lo stesso schema funziona, con identiche probabilità di successo, contro qualunque broker, exchange o istituto finanziario — e in una seconda fase, contro te direttamente come cliente.

Il rischio si sviluppa su due direzioni distinte:

• Verso il broker o l’exchange: un dipendente del servizio clienti o compliance può ricevere una richiesta che sembra provenire da un’autorità legittima (email di dominio reale, intestazione corretta, riferimenti a normative vigenti) e rilasciare dati riservati credendola autentica. È esattamente ciò che è successo a Revolut, e nulla impedisce che accada — o sia già accaduto senza essere ancora emerso — presso un’altra piattaforma.
• Verso di te come cliente: una volta che documenti reali, selfie e dati anagrafici circolano tra soggetti malintenzionati, questi possono essere usati per costruire un tentativo di impersonificazione molto più credibile del solito phishing generico — una chiamata che conosce già il tuo indirizzo, la tua data di nascita, l’ultimo estratto conto, per chiederti di “confermare” un’operazione o di spostare fondi verso un conto “sicuro”.

Come proteggerti da un tentativo di impersonificazione: la checklist

Le misure di buon senso non cambiano da un episodio all’altro, ma vale la pena ripeterle ogni volta che un caso come questo le rende di nuovo attuali. Ecco i passi concreti, applicabili a Revolut come a qualunque altro broker o exchange che usi.

Quali segnali indicano un tentativo di impersonificazione in corso?

Quali pratiche di sicurezza dovresti cercare in un broker o exchange?

Non tutti i broker gestiscono allo stesso modo le richieste di dati da terzi e la comunicazione con i clienti in caso di incidente. Questa tabella riassume i segnali che distinguono un processo debole da uno solido — utile per valutare qualunque piattaforma tu usi, non solo Revolut.

Non è un invito a cambiare piattaforma: è un metodo per valutare qualunque broker o exchange tu scelga in futuro, verificando se dichiara pubblicamente questi presidi nella propria policy di sicurezza.

Se vuoi approfondire gli obblighi fiscali legati al tuo conto Revolut, indipendentemente da questa vicenda, trovi la guida completa su come pagare le tasse su Revolut. Per il caso analogo della chiusura ordinata di Binance in Europa e il metodo per verificare lo stato di compliance di un exchange, leggi Binance e la licenza MiCA: cosa fare. E se hai già subito una perdita per una truffa o il fallimento di una piattaforma, la guida su truffe crypto, quadro RW e minusvalenze spiega come gestirla fiscalmente.

Domande frequenti sulla violazione dati Revolut

Cosa è successo esattamente nella violazione dati di Revolut?

Il 12 settembre 2026 Revolut ha confermato di aver comunicato dati personali di circa 680 clienti a un soggetto non autorizzato, che ha usato l’email di dominio di un ente pubblico italiano (risultato essere un account della Prefettura di Reggio Calabria) per inviare richieste fraudolente di informazioni. Un dipendente, credendo la richiesta legittima, ha rilasciato i dati.

Quanti clienti sono stati coinvolti nella violazione Revolut?

Le fonti concordano su circa 680 clienti europei coinvolti. Revolut non ha confermato pubblicamente la cifra esatta, ma il numero è stato riportato in modo coerente da TechCrunch, Help Net Security ed Euronews sulla base della notifica inviata ai clienti interessati.

Quali dati personali sono stati esposti?

Secondo la notifica ufficiale: data di nascita, indirizzo postale ed email, numero di telefono, copie di documenti d’identità (passaporti e patenti), selfie di verifica, estratti conto e storico transazioni. Il gruppo che rivendica l’attacco sostiene di avere anche IBAN, storico prelievi, occupazione e cronologia bitcoin, informazioni non confermate ufficialmente da Revolut.

I miei fondi su Revolut sono al sicuro?

Secondo le comunicazioni ufficiali sì: i sistemi e i fondi dei clienti non risultano compromessi. La violazione riguarda dati personali e identificativi, non l’accesso diretto ai conti o la possibilità di movimentare denaro.

È vero che è stato chiesto un riscatto a Revolut?

Sì. Il 17 settembre 2026 un gruppo che si firma “iamnotavillain” ha reso pubblica sul dark web una richiesta di 3 milioni di dollari (6.000 XMR in Monero) entro 24 ore, minacciando di vendere 147 GB di dati se non pagato. Revolut ha dichiarato al Financial Times di non aver ricevuto alcuna richiesta diretta dal gruppo.

Come faccio a sapere se sono tra i clienti coinvolti?

Revolut ha dichiarato di aver contattato direttamente i clienti coinvolti. Se non hai ricevuto alcuna comunicazione ufficiale dall’app o dall’email verificata di Revolut, al momento non risulti tra i clienti interessati da questo episodio specifico — ma resta comunque prudente applicare le stesse cautele di sicurezza per prassi.

Come posso proteggermi da un tentativo di impersonificazione simile su un altro broker o exchange?

Attiva sempre l’autenticazione a due fattori, non eseguire mai un’operazione richiesta via email o telefono senza verificarla in autonomia contattando il canale ufficiale con un numero cercato da te (non fornito nel messaggio ricevuto), e non fornire mai OTP, password o accesso remoto al tuo dispositivo. Nessun ente o broker legittimo te lo chiederà mai per “verificare” la tua identità.

Perché conviene attivare sempre l'autenticazione a due fattori (2FA)?

Perché anche se le tue credenziali o i tuoi dati personali venissero esposti in una violazione come questa, un secondo fattore — idealmente un’app authenticator o una chiave hardware, più robusti di un semplice SMS — riduce significativamente la possibilità che qualcuno possa accedere al tuo conto senza il tuo dispositivo fisico.

Cosa rischio se i miei documenti d'identità sono stati esposti in una violazione dati?

Il rischio principale non è un prelievo diretto, ma un utilizzo dei tuoi documenti per costruire tentativi di impersonificazione più credibili verso di te, o per superare controlli di identità presso altri servizi finanziari a tuo nome. Per questo conviene trattare ogni comunicazione che cita dati reali su di te come potenzialmente sospetta finché non la verifichi in autonomia.

Cosa c'entra la Prefettura di Reggio Calabria con la violazione Revolut?

Secondo le ricostruzioni riportate da Euronews e dalle autorità italiane, le richieste fraudolente di dati sono partite da un account email istituzionale riconducibile alla Prefettura di Reggio Calabria. Non è ancora stabilito con certezza se la casella sia stata violata direttamente o clonata dall’esterno: è uno dei punti sotto indagine da parte della Procura di Reggio Calabria e della Direzione Nazionale Antimafia e Antiterrorismo.

Come hanno fatto i responsabili dell'attacco a farsi consegnare i dati senza violare i sistemi di Revolut?

Hanno usato una tecnica chiamata “spray and pray”: hanno raccolto centinaia di identificativi di transazioni in criptovalute, dati pubblici e leggibili da chiunque sulla blockchain, e li hanno inseriti in richieste formalmente corrette — presentate come European Investigation Orders (EIO) del regolamento UE e-Evidence — inviate da una casella PEC riconducibile a un ente pubblico reale. Revolut ha risposto credendo alla legittimità della richiesta, senza che alcun sistema informatico fosse stato violato tecnicamente.

Cosa sono il regolamento e-Evidence e gli European Investigation Orders (EIO)?

Il regolamento europeo e-Evidence disciplina le richieste di prove elettroniche tra autorità giudiziarie di Stati UE diversi ed è operativo dal 18 agosto 2026. Gli European Investigation Orders (EIO) sono lo strumento con cui una procura di uno Stato membro può chiedere dati direttamente a un operatore che opera in un altro Paese UE. Nel caso Revolut, il formato di queste richieste sarebbe stato imitato per ottenere dati con documentazione fraudolenta.

Perché una casella PEC può essere usata per una truffa se ha valore legale?

Il valore legale della PEC (posta elettronica certificata) attesta data, ora e integrità del messaggio, ma non implica automaticamente un livello di sicurezza dell’accesso equivalente. Se l’account PEC usato non è protetto da autenticazione a due fattori, resta esposto agli stessi rischi di qualunque altra casella email protetta solo da password. Cert-AGID riporta oltre 600 casi di abuso di PEC dall’inizio del 2020.

Ultima revisione: 19 settembre 2026.