Revolut ha divulgato i dati dei clienti, comprese le cronologie delle transazioni Bitcoin, a una parte non autorizzata dopo aver ricevuto quella che riteneva essere una legittima richiesta governativa. La richiesta utilizzava il dominio e-mail ufficiale di un’agenzia governativa e aveva superato i normali controlli di autenticazione del dominio.

La società ha dichiarato di aver dato seguito alla richiesta perché il messaggio sembrava autentico. Revolut non ha identificato l’agenzia il cui dominio è stato utilizzato né spiegato come il mittente non autorizzato abbia ottenuto l’accesso al dominio.

⚠️ ALERT: Revolut falls for a FAKE government request, exposing sensitive personal information of customers in a disturbing data breach. Revolut disclosed that it complied with a fraudulent government request using a spoofed official email and valid credentials, exposing PII… pic.twitter.com/3RPO6OYs1N

— Coin Bureau (@coinbureau) September 12, 2026

https://x.com/coinbureau/status/2098684872395301092?ref_src=twsrc%5Etfw

Quali dati sono stati esposti

I documenti divulgati includevano un’ampia gamma di informazioni personali e finanziarie, tra cui nomi e cognomi, date di nascita, professioni, indirizzi postali, indirizzi e-mail e numeri di telefono dei clienti.

Sono stati condivisi anche documenti d’identità come passaporti e patenti di guida, oltre ai selfie inviati durante la verifica dell’identità. Revolut ha dichiarato che i dati biometrici della telemetria facciale non erano inclusi.

Le informazioni finanziarie rappresentavano una parte significativa della divulgazione. I documenti inviati al richiedente non autorizzato includevano estratti conto, IBAN, date di apertura dei conti, registri dei prelievi e cronologie complete delle transazioni.

I numeri di riferimento dei wallet Bitcoin comparivano negli estratti conto e nei documenti divulgati erano incluse anche le cronologie delle transazioni Bitcoin. Questo potrebbe collegare l’attività finanziaria degli utenti crypto alle loro identità.

Revolut ha dichiarato che le chiavi private, le password degli account e i dati completi delle carte di pagamento non erano inclusi.

Chi è stato coinvolto

L’investigatore on-chain ZachXBT ha condiviso l’avviso ai clienti su Telegram l’11 settembre. Ha dichiarato che l’incidente sembrava avere una portata limitata e potrebbe aver preso di mira utenti con patrimoni elevati. Revolut non ha confermato quanti clienti siano stati coinvolti.

Revolut serve più di 80 milioni di clienti in tutto il mondo, sebbene questa cifra rappresenti la sua base utenti complessiva e non indichi il numero di persone coinvolte nell’incidente. L’avviso ai clienti non stabilisce inoltre se ogni cliente coinvolto avesse in archivio ciascun tipo di documento né spiega come siano state selezionate le persone interessate.

Contesto normativo e di sicurezza

L’UK Information Commissioner’s Office afferma che le violazioni dei dati possono provocare furti d’identità, frodi e perdite finanziarie. Le autorità di regolamentazione impongono alle organizzazioni di segnalare determinate violazioni entro 72 ore e di informare tempestivamente gli utenti interessati.

Lo screenshot dell’avviso condiviso da ZachXBT non conferma se Revolut abbia informato un’autorità di regolamentazione né quando la società abbia scoperto che la richiesta era fraudolenta. Revolut non ha commentato pubblicamente l’incidente oltre all’avviso ai clienti e non ha identificato l’agenzia il cui dominio e-mail è stato utilizzato. Sarebbero necessari ulteriori aggiornamenti pubblici per chiarire il numero di clienti coinvolti, l’eventuale notifica alle autorità, il modo in cui la richiesta fraudolenta ha superato i controlli della società e l’eventuale coinvolgimento di ulteriori documenti.

La divulgazione dei dati avviene mentre Revolut sta ampliando i propri servizi. Il 3 settembre la società ha ricevuto l’approvazione condizionata per una licenza bancaria negli Stati Uniti dall’Office of the Comptroller of the Currency. Ad agosto ha lanciato la sua stablecoin ancorata all’euro, EURR, per alcuni clienti europei.

Questi sviluppi sono separati dalla divulgazione dei dati. Revolut non ha identificato utenti coinvolti che risiedano negli Stati Uniti.

Fonte: https://coincentral.com/fake-government-email-fooled-revolut-into-handing-over-your-bitcoin-records/