Revolut ingannata da email governativa autentica: esposti passaporti e storico

Il 12 settembre 2026 Revolut ha confermato una violazione dati in cui un attaccante ha ottenuto copie di passaporti, selfie di verifica e cronologie complete di transazioni — Bitcoin incluso — senza mai violare un sistema aziendale. Il vettore è stato un'email fraudolenta che ha superato tutti i controlli di autenticazione perché originata da un account non autorizzato all'interno dell'infrastruttura di un'autentica agenzia governativa, con SPF, DKIM e DMARC validi. La fintech, che conta oltre 80 milioni di clienti in più di 30 mercati, ha adempito alla richiesta ritenendola legittima per poi scoprire l'inganno contattando l'agenzia per una validazione successiva.

Come una email autenticata ha bucato i processi di compliance

Il meccanismo dell'attacco esemplifica un'evoluzione del phishing istituzionale che non si basa su falsificazione del dominio ma sull'uso di un account reale, sebbene non autorizzato, nella stessa infrastruttura governativa. La portavoce di Revolut ha dichiarato a TechCrunch che "un soggetto terzo non autorizzato ha utilizzato un'email di dominio di un'agenzia governativa legittima per presentare richieste fraudolente di informazioni". La notifica inviata ai clienti, riportata da The CyberSec Guru, precisa che "la comunicazione trasportava credenziali di autenticazione di dominio genuine", inducendo Revolut a soddisfare la richiesta "con la ragionevole convinzione che fosse una richiesta autentica di un'agenzia governativa".

La distinzione è critica: non si tratta di un dominio spoofato o di un typo-squatting, ma di un messaggio che le infrastrutture di autenticazione email riconoscono come legittimo. CryptoSlate ha confermato che l'email ha superato SPF, DKIM e DMARC. Questo scenario invalida la premessa secondo cui la validazione tecnica del dominio costituisca garanzia sufficiente per richieste di dati sensibili, particolarmente in un settore come la fintech dove la compliance normativa impone tempi di risposta rapidi alle richieste delle autorità.

Categorie di dati esposte: dal documento d'identità alla cronologia Bitcoin

La notifica cliente esaminata da TechCrunch elenca dati che coprono l'intero arco dell'onboarding KYC e dell'attività finanziaria. I documenti di identità compromessi includono "copie dei documenti d'identità inclusi passaporti e patenti di guida". Le immagini biometriche di verifica facciale effettuate durante l'adesione sono state esposte, ma con una specifica esclusione: "nessun dato di telemetria biometrica facciale è stato coinvolto o compromesso", come riportato in modo coerente da The CyberSec Guru, Decrypt e CryptoSlate.

Sul fronte finanziario, l'esposizione riguarda nomi completi, date di nascita, professioni, indirizzi postali, email e numeri di telefono. A questi si aggiungono IBAN, stato dell'account, date di apertura, numeri di riferimento dei wallet, record di prelievo e, in modo particolarmente rilevante per il profilo di rischio, "cronologie complete delle transazioni, Bitcoin incluso". CryptoSlate ha riportato che l'analista on-chain ZachXBT ha indicato l'incidente come "apparentemente mirato a utenti ad alto patrimonio", un elemento che amplifica le conseguenze di rischio fisico e sociale.

Il problema del KYC come superficie d'attacco

L'incidente riaccende il dibattito sulla centralizzazione dei dati di identificazione nell'ambito delle politiche Know Your Customer. Marc Zeller, fondatore di Aave, ha commentato su X che il caso è un "tagliente promemoria che il KYC non ha prodotto un upside significativo e ha messo molti in pericolo", come riportato da Decrypt. La critica si concentra sul paradosso per cui l'accumulo obbligatorio di documenti ad alta sensibilità — spinto da normative antiriciclaggio — crea bersagli concentrati di valore eccezionale, senza che i controlli di accesso siano commisurati al rischio.

La questione processuale emerge con forza dai limiti documentati del dossier. Non è noto se Revolut applicasse procedure di verifica out-of-band per le richieste governative, né perché la validazione sia avvenuta solo dopo la consegna dei dati. L'agenzia governativa specifica non è stata identificata. Queste lacune impediscono di stabilire se l'incidente rappresenti un caso di compromissione dell'infrastruttura governativa o di creazione abusiva di un account interno, con implicazioni diverse per la mitigazione del rischio sistemico.

"Un soggetto terzo non autorizzato ha utilizzato un'email di dominio di un'agenzia governativa legittima per presentare richieste fraudolente di informazioni" — Portavoce Revolut a TechCrunch

Cosa fare adesso

La fonte non documenta misure correttive specifiche adottate da Revolut né raccomandazioni rivolte direttamente agli utenti nel contesto di questo incidente. Il dossier non specifica se siano state osservate le informazioni esposti in mercati criminali o se altre istituzioni finanziarie abbiano ricevuto richieste analoghe dalla stessa fonte. Sulla base dei fatti verificati, le aree di attenzione includono:

• Monitorare comunicazioni non richieste che utilizzino i dati esposti per escalation di ingegneria sociale, dato che passaporti, selfie e cronologie finanziarie forniscono materiale per profilazioni mirate.
• Valutare richieste di aggiornamento credenziali o modifice account che citino dettagli tratti da questo breach come elemento di credibilità.
• Considerare che l'assenza di telemetria biometrica compromessa non esclude il rischio di reidentificazione attraverso la correlazione dei dati esposti.
• Riconoscere che la validazione SPF/DKIM/DMARC di un'email governativa non costituisce più, da sola, prova di autorizzazione del mittente specifico.

Perché il settore fintech guarderà a questo caso

Revolut è in procinto di una potenziale quotazione che le fonti valutano fino a 200 miliardi di dollari, in crescita dai 75 miliardi precedenti. In questa fase, un incidente che espone la fragilità dei processi di risposta alle richieste legali ha ripercussioni sulla narrazione regolatoria tanto quanto su quella tecnica. Le autorità di vigilanza nei 30+ mercati in cui Revolut opera come banca dovranno ora confrontarsi con la domanda se le procedure di verifica delle richieste governative siano sufficientemente robuste rispetto al volume e alla sensibilità dei dati trattenuti per obbligo di legge.

Il caso segnala inoltre un possibile spostamento nel modello di minaccia: non più compromissione diretta delle istituzioni finanziarie, ma sfruttamento delle loro catene di fiducia verso lo Stato. Se gli attori malevoli identificano che la validazione tecnica del dominio sostituisce quella procedurale del mittente, il vettore diventa scalabile oltre il singolo obiettivo. Che altre banche abbiano ricevuto richieste dalla stessa fonte è al momento ignoto, ma la struttura dell'attacco non richiede personalizzazione tecnica per essere replicata.

Domande frequenti

I fondi dei clienti Revolut sono a rischio?

Revolut ha dichiarato esplicitamente che i fondi dei clienti e i sistemi core non sono stati compromessi. L'incidente riguarda esclusivamente la divulgazione di dati personali e finanziari, non l'accesso ai sistemi di custodia.

Perché l'email governativa è passata come autentica?

Perché proveniva da un account creato all'interno dell'infrastruttura di dominio di un'agenzia reale, con conseguente validità di SPF, DKIM e DMARC. L'autenticazione tecnica del dominio non verifica l'autorizzazione del singolo mittente.

Quali dati Bitcoin sono stati esposti?

Il dossier indica "cronologie complete delle transazioni, Bitcoin incluso", che secondo le fonti include riferimenti ai wallet, record di prelievo e attività transazionali complete. Non emerge se siano stati esposti chiavi private o credenziali di accesso.

Fonti

• https://cybersecuritynews.com/revolut-data-breach/
• https://thecybersecguru.com/news/revolut-data-breach-2026/
• https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/
• https://www.cryptika.com/revolut-data-breach-exposes-customers-passport-copies-and-full-transaction-histories-to-hackers/
• https://decrypt.co/378114/revolut-passports-bitcoin-activity-data-breach
• https://cryptoslate.com/revolut-tricked-into-handing-hackers-the-passports-and-bitcoin-histories-of-wealthy-customers/
• https://cybersecuritynews.com/ai-powered-public-surveillance/
• https://underdefense.com/ai-soc-deployment-playbook-from-assessment-to-autonomy/?utm_source=cybersecuritynews.com&utm_medium=online_media&utm_campaign=csn_linkedin_newsletter_ai_soc_deployment_playbook_september_2026
• https://cybersecuritynews.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti