La violazione dati Revolut, confermata il 12 settembre 2026, solleva un interrogativo cruciale per il futuro delle banche digitali, delle fintech e delle piattaforme crypto. L'incidente non è scaturito da un attacco diretto ai sistemi aziendali, bensì dall'abuso di canali istituzionali considerati affidabili. Revolut ha infatti comunicato di aver fornito informazioni sensibili di alcuni clienti a una terza parte non autorizzata, in seguito a richieste fraudolente originate da un dominio email legittimo di un'agenzia governativa. L'azienda ha specificato che un numero limitato di utenti è stato coinvolto, senza tuttavia rivelare la cifra esatta o l'identità dell'ente impersonato.
Dettagli della violazione e dati compromessi
La ricostruzione dei fatti indica che i dati potenzialmente esposti includevano informazioni identificative e di contatto, come data di nascita, indirizzo, email e numero di telefono. In alcuni specifici casi, la compromissione si è estesa a documenti d'identità (passaporti e patenti), selfie di verifica, estratti conto e cronologie delle transazioni. Revolut ha assicurato che i clienti interessati sono stati contattati direttamente e ha ribadito che i sistemi e i fondi dei clienti non risultano colpiti.
Il meccanismo dell'attacco rappresenta l'elemento più critico. Le richieste fraudolente non provenivano da un semplice indirizzo email falsificato, ma da un dominio governativo reale.
Questa circostanza ha conferito all'operazione una credibilità ingannevole, sfruttando la fiducia procedurale anziché una vulnerabilità diretta nei database aziendali. Revolut ha dichiarato di aver prontamente bloccato l'indirizzo email coinvolto, informando l'agenzia interessata, le forze dell'ordine e i regolatori competenti.
Implicazioni per il settore crypto e la sicurezza delle comunicazioni
Un aspetto particolarmente rilevante per il settore delle criptovalute è l'inclusione, tra i dati comunicati ai clienti, di informazioni KYC (Know Your Customer), IBAN, numeri di riferimento del wallet e cronologie di attività Bitcoin. La vicenda è emersa pubblicamente a seguito di segnalazioni di figure come Mark Karpelès e ZachXBT, con particolare attenzione agli utenti ad alto patrimonio.
È stato inoltre evidenziato che le richieste fraudolente sono riuscite a superare controlli di autenticazione email standard come SPF, DKIM e DMARC.
Questo non implica un'inefficacia di tali protocolli, ma ne sottolinea i limiti: se un account viene creato o compromesso all'interno di un'infrastruttura legittima, l'autenticazione del dominio può confermare la provenienza tecnica del messaggio senza però garantirne la legittimità sostanziale. In contesti finanziari, dove la sensibilità dei dati è massima, la verifica out-of-band – ovvero tramite un canale separato e già validato – diventa un requisito imprescindibile per richieste che riguardano documenti, transazioni o informazioni patrimoniali.
Il rischio sistemico e le nuove sfide per la sicurezza
La violazione dati Revolut evidenzia un rischio sistemico che va oltre il singolo incidente. Questo tipo di attacco, che sfrutta la fiducia nei canali istituzionali e la sofisticazione delle tecniche di ingegneria sociale, rappresenta una nuova e significativa minaccia per l'intero ecosistema finanziario digitale. La combinazione di dati personali identificativi, documenti d'identità, selfie di verifica, indirizzi, IBAN e cronologie di attività Bitcoin espone gli utenti a un rischio elevato di phishing mirato e attacchi di social engineering estremamente personalizzati, rendendo la protezione delle informazioni ancora più complessa e urgente.
