Un gruppo di hacker che si identifica come iamnotavillain ha rivendicato una significativa violazione di dati che ha interessato la banca digitale britannica Revolut. La notizia è emersa a Londra il 16 settembre 2026, quando il collettivo, contattato dal Financial Times tramite Telegram, ha dichiarato di aver ottenuto informazioni riservate relative a quasi 700 clienti della piattaforma. L'operazione sarebbe stata resa possibile attraverso la compromissione di un sistema di posta elettronica certificata (PEC) appartenente al Ministero dell'Interno italiano.
Il gruppo di hacker ha affermato di essere in possesso di un vasto archivio, stimato in circa 147 gigabyte, contenente dati interni delle forze dell'ordine italiane. Per un periodo protratto, gli aggressori si sarebbero abilmente spacciati per agenti delle autorità, inviando a Revolut richieste mirate e apparentemente legittime per ottenere dettagli specifici sui clienti. Le informazioni richieste includevano indirizzi residenziali, numeri di telefono e cronologie complete delle transazioni finanziarie.
La sofisticata strategia di inganno
La metodologia impiegata dal gruppo iamnotavillain, come dettagliatamente descritto nella loro rivendicazione, non ha riguardato una violazione diretta delle infrastrutture tecnologiche di Revolut.
Si è trattato, piuttosto, di un sofisticato e ben orchestrato inganno ai danni del reparto compliance della fintech. La richiesta di dati è stata inviata alla sede lituana della società attraverso un indirizzo PEC istituzionale precedentemente compromesso, ed è stata costruita con cura per apparire come un atto ufficiale inequivocabile. Tale comunicazione simulava un ordine europeo di indagine e faceva esplicito riferimento a un'inchiesta in corso presso la Procura di Milano, conferendo un'aura di autenticità all'operazione fraudolenta.
In risposta a questa richiesta, che appariva pienamente legittima, Revolut avrebbe fornito dei dossier contenenti informazioni sensibili su alcuni utenti specifici indicati nella comunicazione.
Questi fascicoli includevano dati personali identificativi, copie di documenti di identità e dettagli approfonditi sulle transazioni finanziarie. Tali informazioni sono perfettamente in linea con quanto il gruppo iamnotavillain ha dichiarato di aver acquisito, evidenziando l'efficacia della loro strategia di social engineering.
La risposta di Revolut e la portata dell'incidente
Il numero complessivo dei clienti interessati da questa operazione è stato quantificato in circa 700 individui. Una volta che la truffa è stata individuata, Revolut ha reagito con prontezza e decisione. La società ha immediatamente bloccato l'indirizzo email fraudolento utilizzato dagli hacker, ha provveduto ad avvisare tempestivamente tutti i clienti potenzialmente coinvolti e ha informato le autorità di vigilanza competenti sull'accaduto.
È stato chiaramente specificato che l'incidente non ha comportato alcun accesso non autorizzato ai conti dei clienti e, di conseguenza, non ha prodotto alcuna sottrazione di fondi, rassicurando sulla sicurezza diretta dei capitali.
L'elemento più critico di questa vicenda rimane l'utilizzo strategico di una casella di posta elettronica certificata, riconducibile a un ente ministeriale italiano, come veicolo per richiedere dati sensibili a una banca digitale. Il gruppo iamnotavillain ha esplicitamente collegato questa tattica alla sua presunta disponibilità di un'ampia mole di dati interni delle forze dell'ordine italiane, che sarebbe stata impiegata per supportare e rendere credibili le richieste di informazioni dettagliate sui clienti Revolut, inclusi i loro recapiti e i movimenti finanziari.
