Venerdì 11 settembre un gruppo ristretto di clienti Revolut ha ricevuto una mail dalla propria banca. Non era una promozione: era la comunicazione con cui l'istituto avvisava che i loro dati personali erano finiti nelle mani di un terzo non autorizzato. Il giorno dopo l'investigatore on-chain ZachXBT ha pubblicato quella comunicazione, e sabato 12 Revolut ha confermato l'incidente alla stampa internazionale.
La parte interessante non è che una banca da oltre 70 milioni di clienti nel mondo — più di 5 milioni solo in Italia — abbia subito una violazione. È come. Perché in questo caso nessuno ha bucato niente: i dati sono usciti dalla porta principale, imballati e spediti dalla banca stessa, in perfetta buona fede.
Nessuno è entrato: hanno chiesto, e gli è stato dato
Il meccanismo, ricostruito dalle dichiarazioni dell'azienda e dalle ricostruzioni di stampa, è di una semplicità imbarazzante. Un soggetto non autorizzato ha inviato a Revolut una richiesta di informazioni sui clienti presentandosi come un'agenzia governativa. La mail non arrivava da un dominio contraffatto costruito per l'occasione: partiva da un dominio governativo autentico, e superava tutti i controlli tecnici di autenticazione — SPF, DKIM, DMARC — che esistono proprio per intercettare lo spoofing.
Dal punto di vista dei sistemi antifrode, quella mail era legittima. Firmata, allineata, proveniente da un mittente verificabile. Revolut l'ha trattata come un ordine di esibizione dell'autorità, ha istruito la pratica e ha consegnato i documenti. L'azienda parla di «uno stratagemma di impersonificazione esterna sofisticato» e sostiene di aver agito «nella ragionevole convinzione» di rispondere a una richiesta autentica.
Il punto di rottura non è stato un firewall. È stata una procedura che assume che chi scrive dal dominio giusto sia chi dice di essere.
Quando la frode è emersa, Revolut ha bloccato l'indirizzo, ha allertato l'agenzia governativa il cui dominio era stato usato, le forze dell'ordine e le autorità di vigilanza. La linea ufficiale è netta su un punto: «I sistemi Revolut e i fondi dei clienti non sono stati toccati». È vero, e va detto — ma è anche il modo più elegante di spostare l'attenzione dal danno reale.
Cosa è uscito davvero
La comunicazione inviata ai clienti elenca il contenuto della consegna. Non sono email e numeri di telefono da newsletter: è il fascicolo KYC completo, cioè tutto quello che una banca raccoglie per legge per dimostrare di sapere chi sei.
- Nome, cognome, data di nascita, professione
- Indirizzo di residenza, indirizzo email, numero di telefono
- Copie dei documenti d'identità: passaporti e patenti di guida
- Selfie di verifica, quelli scattati in fase di apertura del conto
- IBAN, stato del conto, data di apertura
- Estratti conto e storico completo delle transazioni, inclusa l'attività in Bitcoin
Fuori dal perimetro restano password, PIN, dati delle carte e ogni forma di accesso operativo al denaro: l'attaccante non ha potuto muovere un euro. Sul numero di persone coinvolte Revolut si limita a «un numero molto limitato» di clienti, contattati direttamente, e non ha voluto dire né quale agenzia governativa sia stata impersonata né quali mercati siano stati colpiti. Il Financial Times ha parlato di 680 clienti contattati: una cifra che l'azienda non ha confermato. ZachXBT, che segue il caso perché molti dei bersagli sono detentori di criptovalute, descrive un gruppo piccolo e selezionato a mano tra i clienti più patrimonializzati.
Questo è il dettaglio che cambia la natura dell'incidente. Non è un dump di massa preso a strascico: è una lista.
Il giallo della PEC italiana
Secondo ZachXBT e le ricostruzioni della stampa italiana, l'indirizzo usato per la richiesta sarebbe una PEC italiana riconducibile a un dominio istituzionale. L'informazione non è stata confermata ufficialmente, e nessuna amministrazione italiana ha finora riconosciuto la compromissione di una propria casella.
L'informatico forense Paolo Dal Checco, citato da Fanpage, ha messo sul tavolo le due ipotesi possibili, entrambe scomode. La prima: una casella istituzionale autentica è stata compromessa, e qualcuno ha scritto letteralmente da dentro. La seconda: è stato registrato un dominio ingannevole molto simile a quello vero — typosquatting — sfruttando il fatto che i controlli in fase di attivazione di una PEC non sempre verificano la reale corrispondenza tra chi richiede l'indirizzo e l'ente che dichiara di rappresentare. In entrambi gli scenari il problema non sta in Lituania o a Londra: sta nella catena di fiducia che rende una PEC italiana un'identità spendibile all'estero senza che nessuno la ricontrolli.
Dalla domenica, il ricatto
Da domenica 13 settembre chi detiene il materiale ha cominciato a pubblicarlo su un canale Telegram, alla velocità di un rilascio al giorno, con la minaccia esplicita di continuare finché la banca non paga. Tra i file mostrati ci sono selfie di verifica e fascicoli KYC integrali di persone identificabili, compresi profili di un certo rilievo: è il motivo per cui in questo articolo non trovate nomi di vittime.
Il soggetto che rivendica l'operazione — si firma "IAmNotAVillain" — sostiene due cose molto più grandi dell'incidente confermato: che l'accesso andasse avanti da sei mesi, e di detenere 147 GB di materiale italiano, mostrando lo screenshot di una cartella "Italy" con quasi 87.000 file e oltre 5.000 sottocartelle, che conterrebbe documenti interni, calendari e conversazioni private di forze dell'ordine italiane. La richiesta di riscatto circolata nelle ultime ore — 10.000 bitcoin, ordine di grandezza centinaia di milioni di dollari — ha più l'aria di una provocazione che di una trattativa.
Va detto con chiarezza: tutto questo secondo blocco è rivendicazione, non fatto accertato. Viminale, ACN e Polizia non hanno confermato nulla, la dimensione dell'archivio non è verificabile dall'esterno e chi ricatta ha un interesse evidente a far sembrare il bottino più grosso di quello che è. L'unica cosa confermata resta la consegna dei dati da parte di Revolut in risposta a richieste fraudolente.
Non è un incidente nuovo, è un genere
Chi segue la sicurezza da qualche anno ha già visto questo film. Tra il 2021 e il 2022 Apple, Meta e Discord hanno consegnato dati di utenti in risposta a fake EDR, finte richieste di emergenza delle forze dell'ordine: caselle di polizia compromesse, mail credibili, nessun mandato — perché l'eccezione d'emergenza serve proprio a saltare il mandato quando c'è una vita in pericolo. Dietro c'erano ragazzi legati a Lapsus$ e al Recursion Team. Da quel caso è nata un'intera categoria di prodotti — startup come Kodex, fondata da un ex agente FBI — che fa una cosa sola: verificare che il poliziotto che chiede i dati sia davvero un poliziotto. Il fatto che sia un mercato è la misura del problema.
Va anche tenuto separato dal precedente interno: nel settembre 2022 Revolut subì una violazione che toccò 50.150 clienti, ma con un meccanismo diverso — social engineering su un accesso interno, non una richiesta esterna presa per buona. Diverse ricostruzioni di queste ore stanno mescolando i due episodi: sono due cose distinte, e la seconda è più grave della prima proprio perché non ha richiesto alcuna intrusione.
Perché questi dati valgono più di un conto svuotato
«I fondi sono al sicuro» è vero e irrilevante. Il danno di questo incidente non si misura in euro sottratti, si misura in permanenza.
Una carta compromessa si blocca in dieci secondi e si sostituisce in tre giorni. Una password si cambia. Un passaporto no: resta valido per anni, e con la sua scansione più il selfie di verifica più l'indirizzo di residenza si supera l'onboarding di parecchi servizi finanziari, si aprono conti a nome di altri, si convince un operatore telefonico a fare un SIM swap, si costruisce un attacco di impersonificazione contro l'assistenza clienti della banca stessa. Il tuo volto e il tuo documento non si ruotano.
C'è poi la parte che rende questa lista diversa da tutte le altre. Indirizzo di casa più storico delle transazioni in Bitcoin significa, per chi legge quei file, sapere dove abiti e quanto vali. È esattamente il profilo che alimenta i cosiddetti wrench attack, le aggressioni fisiche per farsi consegnare le chiavi private. I numeri di CertiK per il primo semestre 2026 sono difficili da liquidare come allarmismo: 52 episodi verificati, un terzo in più rispetto ai 39 del 2025, con un'esposizione economica di 124,1 milioni di dollari contro i 10,5 milioni dell'anno precedente. Le irruzioni in casa sono passate da 1 a 20 in dodici mesi, i sequestri di persona da 12 a 16. La Francia da sola conta 33 dei 52 casi. E la correlazione che gli analisti indicano da tempo è sempre la stessa: le ondate di violenza seguono le fughe di dati che accoppiano identità, indirizzo e ricchezza dichiarata.
Per chi è finito in quella lista, insomma, il rischio non è il conto in rosso. È qualcuno che suona alla porta.
Il buco normativo che nessuno ha ancora tappato
L'ironia della tempistica è quasi perfetta. Dal 18 agosto 2026 è applicabile il regolamento europeo sull'e-Evidence (UE 2023/1543), che nasce esattamente per questo: dare alle autorità di uno Stato membro un canale diretto e verificabile per chiedere dati a un fornitore di servizi stabilito in un altro Stato, attraverso un sistema informatico decentralizzato con autenticazione forte al posto della mail. Il canale, però, è in larga parte ancora sulla carta: il sistema non è pienamente operativo e a marzo la Commissione ha aperto procedure di infrazione verso 22 Stati membri per il mancato recepimento della direttiva collegata. Nel frattempo, il canale reale è rimasto quello che ha funzionato qui: un messaggio di posta.
Sul fronte della vigilanza, Revolut Bank UAB opera con licenza lituana sotto supervisione BCE, quindi il fascicolo tocca l'autorità garante lituana per il GDPR, l'ICO e la FCA per il perimetro britannico, e potenzialmente i garanti nazionali dei mercati coinvolti — Italia inclusa, se i clienti colpiti sono anche italiani. Sul fronte operativo vale DORA, in vigore per gli enti finanziari europei dal gennaio 2025, che impone la notifica iniziale di un incidente ICT grave entro 4 ore dalla classificazione e comunque entro 24 ore dalla scoperta. Gli obblighi di comunicazione agli interessati — l'articolo 34 del GDPR — Revolut li ha rispettati in tempi rapidi, e va riconosciuto.
Resta la domanda che nessuna di queste norme risolve oggi: chi verifica il verificatore? Una banca che riceve un ordine apparentemente legittimo da un'autorità straniera ha, di fatto, due sole opzioni: obbedire in fretta, come le si chiede di fare, o rallentare e richiamare l'ente su un canale indipendente, accettando il rischio di ostacolare un'indagine vera. Finché la seconda opzione resta una scelta discrezionale dell'ufficio legale e non un passaggio obbligato della procedura, questo attacco è ripetibile contro chiunque. E costa a chi lo esegue una mail.
Cosa può fare un cliente
Poco, ed è la parte più sgradevole. Se avete ricevuto la comunicazione di Revolut, il documento e il volto sono già fuori: ha senso trattare ogni contatto ricevuto nelle prossime settimane come ostile — in particolare le chiamate di «operatori» che conoscono i vostri dati reali, che è precisamente ciò che questi file abilitano. Vale la pena aggiungere un PIN al proprio numero presso l'operatore telefonico per ostacolare un SIM swap, verificare che l'autenticazione a due fattori non passi dagli SMS, e considerare la segnalazione al garante privacy competente. Chi tiene criptovalute in autocustodia e si riconosce nel profilo bersaglio dovrebbe rivedere ciò che rende la propria posizione visibile: non è paranoia, sono i numeri di CertiK.
Per tutti gli altri, resta la lezione generale. Il fascicolo KYC che ogni servizio finanziario ci chiede — documento, volto, indirizzo, movimenti — è diventato l'asset più pesante e meno difendibile del sistema: obbligatorio da raccogliere, impossibile da revocare, e custodito da procedure che possono essere aggirate con un messaggio scritto dal dominio giusto.