Data Breach: il caso Revolut

Il caso: nessun sistema violato, dati consegnati

Il 12 settembre 2026 Revolut ha confermato di aver consegnato dati di propri clienti a un soggetto non autorizzato [1]. Le richieste sembravano provenire da un'agenzia governativa: arrivavano da un indirizzo di posta attivo sul dominio autentico di quell'ente e superavano i controlli tecnici di autenticazione della posta. Revolut non ha indicato quale ente fosse coinvolto [1][2].

Secondo le prime ricostruzioni della stampa italiana, la casella usata sarebbe una PEC del dominio interno.it riconducibile alla Prefettura di Reggio Calabria, e le richieste sarebbero state firmate a nome della Polizia Postale [11][12]. Il riferimento alla Prefettura compare anche in un'interrogazione parlamentare urgente [14]. L'attribuzione non è stata confermata ufficialmente: gli investigatori devono ancora stabilire se la casella sia stata davvero violata o se si tratti di una falsificazione dell'identità del mittente [14][16].

Secondo la notifica inviata ai clienti, i dati esposti comprendono nome, data di nascita, indirizzi, numero di telefono, copia del documento d'identità (passaporto o patente) e, potenzialmente, il selfie di verifica, gli estratti conto e la cronologia delle transazioni [1]. Il selfie di verifica è la foto del volto che il cliente scatta nell'app per confermare la propria identità, per esempio all'apertura del conto: non va confuso con lo sblocco del telefono tramite impronta o riconoscimento facciale. The Register riporta anche IBAN, professione e movimenti in bitcoin [2].

Revolut ha dichiarato di aver bloccato l'indirizzo e avvisato autorità e regolatori, precisando che i propri sistemi e i fondi dei clienti non sono stati compromessi [1]. Il 14 settembre l'azienda ha comunicato all'emittente olandese BNR di aver identificato circa 680 clienti coinvolti, 36 dei quali nei Paesi Bassi [3]. Il 16 settembre BNR ha riferito che i dati di almeno cinque clienti olandesi sono già stati pubblicati online [4]. Chi rivendica l'attacco chiede un riscatto in bitcoin; Revolut non ha commentato [2].

In Italia la Polizia Postale indaga per accesso abusivo a sistema informatico e frode informatica [11][12]. Secondo Milano Finanza, sul caso sono al lavoro anche Banca d'Italia e l'Agenzia per la cybersicurezza nazionale (ACN) [14]. Quotidiano Nazionale riferisce che la richiesta citava una presunta indagine della Procura di Milano ed era indirizzata alla struttura di Revolut in Lituania [16].

La durata dell'operazione non è chiara. ANSA parla di circa cinque mesi di richieste [11]; secondo quanto riportato da Sky TG24, gli stessi autori hanno dichiarato al Financial Times di aver contattato Revolut per la prima volta un paio di mesi fa [15].

Nessuno ha forzato un server, eppure i dati sono usciti. È un data breach a tutti gli effetti.

Che cos'è davvero un data breach

Nell'immaginario comune un data breach è un attacco informatico: qualcuno supera le difese ed entra in un database. Il Regolamento generale sulla protezione dei dati (GDPR) usa una definizione molto più ampia. All'articolo 4, punto 12, la violazione dei dati personali è "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati" [5].

La definizione non parla di hacker né di intrusioni. Conta l'effetto sui dati, non il modo in cui ci si arriva. Le Linee guida 9/2022 del Comitato europeo per la protezione dei dati (EDPB) distinguono tre tipi di violazione [6]:

• Riservatezza: i dati vengono visti o comunicati a chi non dovrebbe averli. È il caso Revolut.
• Integrità: i dati vengono modificati senza autorizzazione, per esempio un IBAN alterato in una fattura.
• Disponibilità: i dati vanno persi o diventano inaccessibili, come accade con un ransomware che cifra gli archivi senza che esista una copia di backup.

Una stessa violazione può toccare più di una categoria contemporaneamente [6]. Anche un'email inviata per errore al destinatario sbagliato, o un computer portatile smarrito, possono costituire un data breach¹.

Non serve violare un sistema per violare i dati.

Due strade verso lo stesso risultato

Nel secondo percorso il punto debole non è il software, ma il processo con cui un'organizzazione decide di fidarsi di una richiesta. Il fenomeno non è nuovo. Nel novembre 2024 l'FBI ha segnalato alle aziende l'uso di caselle email governative compromesse, statunitensi e straniere, per inviare false richieste urgenti di dati [7]. Sui forum criminali venivano vendute caselle istituzionali, insieme all'assistenza per compilare richieste credibili [7].

La lezione tecnica è semplice. I controlli di autenticazione della posta, come SPF, DKIM e DMARC², verificano che un messaggio sia collegato al dominio dichiarato: SPF controlla quali server possono inviare per quel dominio, DKIM verifica una firma digitale del dominio, DMARC controlla che questi risultati corrispondano all'indirizzo mostrato come mittente [17]. Autenticano però solo il dominio, non la singola casella né chi la sta usando, e nemmeno la legittimità del contenuto [17]. Per questo l'FBI raccomanda di diffidare dell'urgenza, verificare che i riferimenti normativi siano coerenti con l'autorità mittente e, in caso di dubbio, ricontattare l'ente per un canale indipendente [7].

Nel caso italiano il canale sarebbe stato addirittura una PEC. La posta elettronica certificata attesta l'invio e la consegna di un messaggio tra due caselle, ma non verifica chi sta usando la casella né se abbia il potere di chiedere quei dati⁴. Secondo le ricostruzioni, due segnali avrebbero potuto destare sospetti [11]:

• le richieste erano firmate dalla Polizia Postale, ma partivano da una casella della Prefettura invece che dai canali propri della Postale;
• secondo ANSA, alle richieste sembra mancasse il decreto dell'autorità giudiziaria che, stando alla testata, in casi simili le accompagna.

Un dominio autentico, o una PEC valida, prova da quale casella parte il messaggio, non chi scrive né con quale autorità.

Che cosa succede dopo una violazione

Il GDPR impone al titolare del trattamento, cioè all'organizzazione che decide come usare i dati, due obblighi distinti.

• Notifica all'autorità di controllo. Va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, salvo che la violazione non presenti rischi per le persone (art. 33) [5][8]. In Italia l'autorità è il Garante per la protezione dei dati personali.
• Comunicazione agli interessati. Quando il rischio è elevato, le persone coinvolte vanno informate direttamente (art. 34) [5][8]. L'email ricevuta dai clienti Revolut risponde a questo obbligo.

Il titolare deve inoltre documentare ogni violazione, anche quelle non notificate, per esempio in un registro interno [8].

Perché il caso Revolut pesa più di una comune fuga di indirizzi email? Il Garante elenca, tra i danni possibili, il furto d'identità e il rischio di frode [8]. Una copia del documento, un selfie di verifica e la storia dei movimenti bancari offrono a un truffatore quasi tutto il necessario per impersonare qualcuno in modo convincente³.

Il rischio di un breach dipende dal tipo di dati, non solo dal numero di persone coinvolte.

Cosa fare se ricevi una notifica di breach

Dopo un data breach arriva spesso una seconda ondata di truffe che sfruttano la notizia. Alcune regole pratiche:

• Verifica la notifica. Controlla le comunicazioni direttamente nell'app o sul sito ufficiale del servizio, senza cliccare sui link ricevuti.
• Diffida di chi ti contatta. Chi telefona a nome della banca, della polizia o di un ente pubblico citando il breach va trattato con sospetto, soprattutto se mette fretta.
• Non condividere mai codici. Nessun operatore legittimo chiede codici di accesso, PIN o conferme di pagamento.
• Controlla i movimenti. Verifica regolarmente conto e carte e attiva le notifiche per ogni operazione.
• Conserva le prove. Tieni la notifica ricevuta. In caso di uso fraudolento dei tuoi dati, rivolgiti alla Polizia Postale e alla tua banca.

Dopo un breach, il pericolo maggiore è la fiducia che l'attaccante può sfruttare con i tuoi dati.

Note

¹ Le Linee guida EDPB 9/2022 riportano esempi di violazioni prive di componente informatica offensiva, come l'invio di dati al destinatario errato o la perdita di supporti [6].

² SPF (RFC 7208) indica quali server sono autorizzati a inviare posta per un dominio; DKIM (RFC 6376) aggiunge al messaggio una firma digitale riconducibile al dominio; DMARC (RFC 9989, che insieme alle RFC 9990 e 9991 ha sostituito la RFC 7489) verifica che il dominio autenticato coincida con quello visibile nel campo mittente [17]. Se un terzo usa una casella autentica, i controlli risultano comunque superati.

³ Revolut non ha indicato quale entità del gruppo abbia ricevuto le richieste; secondo Quotidiano Nazionale si tratterebbe della struttura lituana [16]. Non è noto se tra i clienti coinvolti vi siano cittadini italiani: le fonti indicano soltanto che il canale usato sarebbe italiano. Il quadro normativo europeo sulle richieste di prove elettroniche (Reg. (UE) 2023/1543, applicabile dal 18 agosto 2026) prevede canali autenticati per le richieste delle autorità, ma esclude dal proprio ambito i servizi finanziari (art. 3, punto 3) [9][10].

⁴ La PEC è disciplinata dal D.P.R. 68/2005 e dall'art. 48 del Codice dell'amministrazione digitale. Fornisce ricevute di invio e di consegna, con data e ora opponibili ai terzi, e la trasmissione tramite PEC equivale, salvo che la legge disponga diversamente, alla notificazione per mezzo della posta [13][18]. Le ricevute certificano il percorso del messaggio tra due caselle, non l'identità di chi ha scritto: se le credenziali di una casella vengono sottratte, i messaggi inviati risultano comunque regolarmente trasmessi.

Riferimenti

[1] J. Singh, "Revolut confirms customer data breach through fake government requests", TechCrunch, 12 settembre 2026.

[2] C. Jones, "Revolut falls for fake government requests, hands over customer data", The Register, 14 settembre 2026.

[3] N. Kooloos, "Revolut: 680 klanten getroffen door phishingaanval, waaronder 36 Nederlanders", BNR Nieuwsradio, 14 settembre 2026 (agg. 15 settembre 2026).

[4] "Gegevens Nederlandse slachtoffers Revolut-lek staan online", BNR Nieuwsradio, 16 settembre 2026.

[5] Regolamento (UE) 2016/679 (GDPR), artt. 4, 33 e 34, EUR-Lex.

[6] European Data Protection Board, Guidelines 9/2022 on personal data breach notification under GDPR, versione 2.0.

[7] FBI, Private Industry Notification 20241104-001, "Easy Access to Information for Conducting Fraudulent Emergency Data Requests Impacts US-Based Companies and Law Enforcement Agencies", 4 novembre 2024.

[8] Garante per la protezione dei dati personali, "Data Breach — Violazioni di dati personali", garanteprivacy.it/data-breach.

[9] Regolamento (UE) 2023/1543 relativo agli ordini europei di produzione e di conservazione di prove elettroniche, art. 3 e art. 34, EUR-Lex.

[10] Redazione, "Richieste dell'autorità contraffatte: il caso Revolut e la verifica delle istanze", ICT Security Magazine, 15 settembre 2026.

[11] M. Nesticò, "Pec italiana compromessa, Revolut consegna i dati dei clienti agli hacker", ANSA, 15 settembre 2026.

[12] "La Pec della Prefettura di Reggio nelle mani degli hacker: si fingono poliziotti e ingannano Revolut", Corriere della Calabria, 15 settembre 2026.

[13] D.P.R. 11 febbraio 2005, n. 68, "Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata".

[14] "Revolut, truffa degli hacker con la pec italiana: consegnati dati di 700 clienti. Verifiche di Polizia postale, Acn, Bankitalia", Milano Finanza, 15 settembre 2026.

[15] "Revolut, truffa con pec italiana compromessa: esposti dati di 680 clienti", Sky TG24, 15 settembre 2026.

[16] "Revolut, rubati i dati a centinaia clienti: gli hacker usano una falsa Pec del ministero", Quotidiano Nazionale, 15 settembre 2026.

[17] IETF, RFC 7208 (SPF), RFC 6376 (DKIM) e RFC 9989 (DMARC, maggio 2026; con le RFC 9990 e 9991 sostituisce la RFC 7489).

[18] D.Lgs. 7 marzo 2005, n. 82, Codice dell'amministrazione digitale, art. 48.

Avvertenza

Il presente documento ha finalità esclusivamente divulgative e non costituisce consulenza legale. Le informazioni sul caso Revolut sono aggiornate al 16 settembre 2026, provengono da dichiarazioni aziendali e da fonti giornalistiche, e possono evolvere dopo la data di pubblicazione. L'attribuzione della casella PEC utilizzata, la sua effettiva compromissione e la durata dell'operazione derivano da ricostruzioni di stampa non confermate ufficialmente e in parte discordanti. Il numero dei clienti coinvolti è quello comunicato da Revolut all'emittente BNR. L'immagine di copertina e la Figura 1 sono ricostruzioni originali dell'autore, realizzate senza marchi né materiale di terzi.