Revolut vittima di attacco finto governativo: dati sensibili dei clienti consegnati

Revolut ha rivelato di aver consegnato dati sensibili di alcuni clienti a un ente governativo finto, senza violare i propri sistemi. L’episodio, descritto come un “sofisticato attacco esterno di impersonificazione”, è emerso dopo che la società ha informato i propri utenti coinvolti. L’attacco, che si presenta come un caso di phishing ben realizzato, ha sfruttato un account email non autorizzato creato all’interno dell’infrastruttura del dominio ufficiale di un ente governativo, dotato di credenziali di autenticazione valide. Revolut ha affermato di aver bloccato l’indirizzo utilizzato e di aver informato le autorità competenti, ma non ha chiarito quale ente pubblico fosse coinvolto né in quale Paese si trovi.

Phishing ben realizzato e dati sensibili esposti

La particolarità dell’incidente risiede nel modo in cui è avvenuto. Non si trattava di un semplice indirizzo contraffatto o di un dominio costruito per assomigliare a quello di un’amministrazione pubblica, ma di un account email realmente attivo all’interno del dominio ufficiale di un ente governativo. Revolut ha confermato di aver fornito informazioni personali e finanziarie di alcuni clienti a una terza parte non autorizzata, dopo aver ricevuto richieste fraudolente che apparivano provenire da un’agenzia governativa. I dati consegnati comprendono nome, cognome, data di nascita, indirizzo, email, numero di telefono, copie dei documenti utilizzati per verificare l’identità, selfie, estratti conto e cronologia delle transazioni. Tra i dati potenzialmente trasmessi anche IBAN, registrazioni dei prelievi e cronologie complete delle operazioni, comprese quelle relative a Bitcoin.

Revolut ha affermato di non aver violato i propri sistemi, ma di aver fornito informazioni ritenendo che la richiesta provenisse realmente dall’autorità. La società ha precisato che “i sistemi Revolut e i fondi dei clienti non sono stati coinvolti”, ma non ha fornito ulteriori dettagli sull’origine dell’attacco o sulle misure adottate per prevenire futuri episodi simili.

Un caso rilevante per l’Italia

La crescita di Revolut in Italia si inserisce in una fase di forte espansione della fintech, che ha attualmente circa 80 milioni di clienti nel mondo. La società ha raggiunto 5 milioni di clienti in Italia, dopo essere passata dai 3 milioni di gennaio 2025 ai 4 milioni di settembre dello stesso anno. Nonostante la crescita, Revolut non ha comunicato quanti clienti siano stati coinvolti nell’incidente, limitandosi a parlare di un numero “limitato”. Non è chiaro se le persone interessate appartengano tutte allo stesso Paese o se tra loro ci siano clienti italiani.

Non è noto se lo stesso account governativo sia stato utilizzato per inviare richieste analoghe ad altre banche o società finanziarie. La comunicazione inviata da Revolut ai clienti coinvolti ha confermato che i sistemi della società non sono stati violati, ma i dati sensibili sono stati consegnati a una terza parte non autorizzata. La società non ha identificato l’agenzia governativa il cui dominio è stato utilizzato e non ha spiegato quanto tempo sia trascorso tra la consegna dei dati e la scoperta della frode.

Non è inoltre noto se siano coinvolti clienti italiani. La società non ha fornito ulteriori dettagli sull’origine dell’attacco o sulle misure adottate per prevenire futuri episodi simili. L’episodio rappresenta un caso particolare, in quanto non si è trattato di un semplice phishing, ma di un attacco ben organizzato che ha sfruttato un account email realmente attivo all’interno del dominio ufficiale di un ente governativo.