Dal riscatto al mercato: il caso Revolut dieci giorni dopo

Il punto in tre righe

Revolut non ha pagato. Chi ha ottenuto i dati con false richieste delle autorità ha quindi cambiato bersaglio: prima i clienti, ai quali chiede denaro per non diffondere le loro informazioni, poi lo Stato italiano, con la pubblicazione delle prime anteprime di un archivio che sostiene di aver sottratto alle forze dell'ordine. Le indagini, per ora, non confermano quest'ultima parte.

1. Il riscatto rifiutato

Il gruppo che si fa chiamare IAmNotAVillain ha reso pubblica una richiesta di 3 milioni di dollari in Monero, con un conto alla rovescia di 24 ore e la minaccia di cedere i dati ad altre organizzazioni criminali [1][2]. Al Financial Times, che li ha contattati via Telegram, gli autori hanno dichiarato di non aver mai aperto una trattativa con l'azienda [2].

Monero è una criptovaluta pensata per rendere difficile ricostruire i pagamenti, ed è per questo che ricorre nelle estorsioni. La scadenza è passata senza esito e il sito con l'ultimatum è sparito [3].

**Rendere pubblico il ricatto prima ancora di trattare serve a costruire pressione, non a negoziare.**

2. Il bersaglio diventa il cliente

Fallito il ricatto all'azienda, gli attaccanti hanno aperto sul circuito Tor un sito dedicato alla pubblicazione dei dati, offrendo alle persone coinvolte di pagare per far togliere le proprie informazioni prima della vendita [4].

È un cambio di passo che riguarda direttamente i 680 clienti. Chi riceve una proposta simile si trova davanti a una scelta apparente: nessuna garanzia accompagna la promessa di cancellare dei file, mentre il pagamento conferma all'estorsore che quel destinatario è reattivo.

**Pagare non riporta indietro i dati: li rende solo più preziosi.**

3. Gli "Italy files" e ciò che non torna

Il 25 settembre il gruppo ha pubblicato le anteprime di una cartella chiamata "Italy files", con documenti di funzionari pubblici, tessere sanitarie e passaporti diplomatici [4]. Secondo Il Post si tratta di circa 85.000 file, al momento non scaricabili, e non è chiaro se abbiano un legame con i dati sottratti a Revolut [4]. Gli autori rivendicano in tutto 147 gigabyte riferibili alla polizia italiana [4].

Su questo punto le versioni divergono in modo netto.

• **La rivendicazione:** mesi di accesso a sistemi delle forze dell'ordine e oltre centomila documenti.
• **Gli accertamenti:** i primi riscontri della Polizia Postale non hanno rilevato vulnerabilità nei sistemi del Ministero dell'Interno né confermato l'esfiltrazione dei 147 gigabyte [5].
• **Il numero degli italiani:** il Ministero dell'Interno ha indicato 8 clienti italiani tra i 680 [4]; Il Sole 24 Ore parla di almeno 15 persone coinvolte [6].

Un archivio esibito da chi chiede un riscatto va trattato con cautela, perché l'estorsore ha interesse a gonfiarne il valore. Anteprime selezionate non dimostrano né la dimensione dell'archivio né la sua origine.

**Una rivendicazione non è una prova, e una smentita preliminare non è un'assoluzione: sono due ipotesi in attesa di riscontri.**

4. Cosa si muove sul piano istituzionale

• **Procura di Reggio Calabria:** fascicolo aperto, con l'ipotesi di intrusione in un sistema informatico di pubblico interesse [1][7].
• **Garante privacy:** comunicazione ai responsabili della protezione dei dati delle banche italiane, con l'invito a verificare i propri sistemi e a segnalare eventuali falle [1].
• **Coordinamento europeo:** scambio di informazioni avviato con l'autorità di protezione dati lituana, dove si trova la sede legale europea di Revolut, e interlocuzione con il Ministero dell'Interno per capire se siano coinvolti altri intermediari finanziari [1].

Il punto sollevato dal Garante è quello che conta davvero per chiunque gestisca dati: non l'episodio in sé, ma le procedure con cui una banca valuta una richiesta che arriva da un ente pubblico.

**La domanda per le aziende non è "siamo stati bucati?", ma "chi può ottenere i nostri dati semplicemente chiedendoli?".**

5. Cosa fare adesso, se sei un cliente

• **Ignora qualunque contatto degli estorsori** e non pagare: non c'è modo di verificare la cancellazione dei dati.
• **Conserva tutto:** messaggi, email e schermate servono a chi indaga.
• **Alza le difese del conto:** password unica, verifica in due passaggi e notifiche su ogni movimento.
• **Aspettati il phishing:** dopo una fuga di dati arrivano truffe costruite su informazioni corrette, che le rendono credibili.
• **Segnala:** alla banca, alla Polizia Postale e, per la tutela dei dati personali, al Garante.

Note

¹ Le cifre sull'archivio (147 gigabyte, 85.000 file, oltre 130.000 documenti) provengono dalle dichiarazioni degli attaccanti o dall'esame delle anteprime da parte delle redazioni, e non risultano confermate dalle autorità.

² Rispetto alla nostra edizione speciale, la richiesta di riscatto va corretta: le prime notizie parlavano di un importo in bitcoin, mentre le fonti successive concordano su 3 milioni di dollari in Monero [1][2][3].

Riferimenti

[1] «Revolut, gli hacker "abbiamo i dati della polizia italiana"», *ANSA*, 16 settembre 2026.

[2] «Revolut hack: criminals steal data of European clients and demand $3m ransom», *Euronews*, 17 settembre 2026.

[3] «Caso Revolut: online i documenti del Ministero dell'Interno», *Punto Informatico*, 25 settembre 2026.

[4] «I criminali che hanno truffato Revolut hanno messo online alcune anteprime dei file italiani che dicono di possedere», *Il Post*, 25 settembre 2026.

[5] «Revolut, i primi accertamenti non confermano il furto di 147 gigabyte di dati al Viminale», *Il Sole 24 Ore*, 21 settembre 2026.

[6] «Revolut: hackers threaten to sell customer data, at least 15 Italians affected», *Il Sole 24 Ore*, 24 settembre 2026.

[7] «Revolut, aperta inchiesta a Reggio Calabria. Hacker chiedono riscatto di 3 milioni», *Sky TG24*, 16 settembre 2026.

Avvertenza

Questo aggiornamento ha finalità divulgative e non costituisce consulenza legale. Le informazioni sono aggiornate al 26 settembre 2026 e derivano da fonti giornalistiche e da dichiarazioni delle autorità: l'attribuzione della casella PEC, l'effettiva compromissione di sistemi pubblici e la consistenza dell'archivio rivendicato restano da accertare. Le rivendicazioni degli attaccanti sono riportate come tali e non come fatti verificati.