Revolut ingannata da falsa richiesta governativa: esposti passaporti, IBAN e transazioni Bitcoin

Roma, 12 settembre — Revolut ha confermato di aver fornito a una parte non autorizzata dati sensibili di un numero limitato di clienti dopo aver ricevuto una falsa richiesta apparsa provenire da un account ospitato sul dominio di una vera agenzia governativa. L episodio è stato reso pubblico dopo che l investigatore blockchain ZachXbt ha diffuso alcuni dettagli; secondo l azienda i sistemi e i fondi dei clienti non sono stati compromessi.

Non si è trattato di un attacco informatico tradizionale. La truffa è partita da una richiesta inviata da un account non autorizzato ma registrato all interno del dominio reale di un ente pubblico, elemento che ha reso la comunicazione credibile. Il messaggio avrebbe superato i controlli tecnici di autenticazione delle email, inducendo Revolut a trattarlo come una richiesta governativa legittima e a fornire le informazioni richieste; l anomalia è emersa solo dopo il contatto diretto con l agenzia impersonata.

Dati potenzialmente esposti. La comunicazione inviata ai clienti coinvolti indica la divulgazione di informazioni identificative e di contatto: nome, data di nascita, professione, indirizzo, email e numero di telefono. Sono elencati anche documenti d identità e immagini per la verifica: copie di passaporto o patente e foto usate per KYC. Sul fronte finanziario, la richiesta includeva dati relativi ai conti, tra cui IBAN, estratti conto, movimenti e cronologia delle transazioni, comprese quelle in Bitcoin.

Cosa non risulta compromesso. Revolut ha dichiarato che non sono state coinvolte password, credenziali di accesso o fondi dei clienti. L azienda ha inoltre precisato che le immagini per la verifica facciale non contenevano dati biometrici derivati dal riconoscimento, riducendo per ora il rischio di uso automatizzato dei dati.

Il fattore Bitcoin. Le transazioni in Bitcoin sono pubbliche per natura della blockchain, ma il loro collegamento a persone reali diventa critico quando lo storico delle operazioni viene associato a dati KYC e documenti d identità. L investigatore ZachXbt ha ipotizzato che l episodio possa aver riguardato clienti con patrimoni elevati, ma si tratta di una valutazione esterna: Revolut non ha reso noto né il numero degli interessati né un profilo ufficiale delle persone coinvolte.

Risposta e indagini

Dopo aver scoperto la frode, Revolut ha bloccato l indirizzo email usato nella richiesta e ha informato l agenzia governativa presunta, le forze dell ordine e le autorità competenti in materia di protezione dei dati e vigilanza finanziaria. I clienti interessati, definiti dall azienda come un numero limitato, sono stati contattati direttamente. Non è stato divulgato quale ente sia stato impersonato, quanti clienti siano coinvolti o in quale Paese sia avvenuto l episodio.

Implicazioni e contesto più ampio

Il caso mette in luce un limite delle procedure basate sull autenticazione delle email: la presenza di un indirizzo appartenente a un organizzazione legittima non garantisce che chi lo usa sia autorizzato. Le autorità avevano già evidenziato il fenomeno: nel novembre 2024 l FBI segnalò la circolazione di credenziali appartenenti a caselle email governative utilizzabili per richieste fraudolente. Qui la violazione non è stata tecnica ma di ingegneria sociale, con potenziali conseguenze elevate per la privacy e il rischio di frodi mirate e impersonificazione.

L episodio solleva domande sulla necessità di processi più rigorosi per le richieste esterne di informazioni sensibili, soprattutto in ambito fintech, dove la combinazione di documenti d identità, dati di contatto e cronologia finanziaria può offrire una base efficace per attacchi successivi. Al momento permangono incertezze su estensione, profili dei clienti coinvolti e responsabilità dirette; le indagini delle autorità competenti sono in corso.