Revolut ha confermato una violazione dei dati nella quale una terza parte sconosciuta ha presentato una richiesta fraudolenta di informazioni sui clienti. L’aggressore ha utilizzato un account email appartenente a un dominio governativo legittimo per ottenere copie dei documenti d’identità e cronologie complete delle transazioni in Bitcoin.

Revolut, banca digitale britannica, combina conti correnti, pagamenti, negoziazione di titoli e servizi crypto in un’unica applicazione. La sua attività crypto comprende anche la piattaforma di trading indipendente Revolut X e la stablecoin in euro EURR. La società ha dichiarato di aver servito 80 milioni di clienti in tutto il mondo nell’agosto 2026.

La violazione si è verificata mentre Revolut espande le proprie attività bancarie e crypto regolamentate. All’inizio di settembre 2026, l’autorità bancaria statunitense Office of the Comptroller of the Currency (OCC) ha concesso alla società l’approvazione condizionata per una licenza bancaria nazionale. Ad agosto, Revolut aveva iniziato a lanciare la sua stablecoin EURR in Danimarca, Polonia e Portogallo.

I clienti interessati hanno ricevuto email di notifica nel settembre 2026. Revolut non ha comunicato quanti account siano stati coinvolti né quale autorità sia stata impersonata dall’aggressore.

In che modo la richiesta fraudolenta ha ingannato Revolut

I ricercatori di sicurezza documentano dal 2021 richieste fraudolente di dati degli utenti presentate in base a disposizioni per le emergenze. Nel settore, questo schema è noto come Fraudulent Emergency Data Request. In genere, i criminali prendono il controllo di un account email associato a un dominio autentico della polizia o del governo, oppure ne falsificano l’identità. Utilizzano quindi l’account per richiedere dati degli utenti sostenendo che un’emergenza imponga una risposta immediata.

L’eccezione prevista per le emergenze aggira il normale processo di verifica, che generalmente richiede un ordine del tribunale. Le aziende possono quindi rispondere entro 30-60 minuti. È proprio questa rapidità a rendere il processo interessante per gli aggressori. Apple, Meta, Discord e Verizon sono già cadute vittime dello schema, inizialmente associato ai gruppi Lapsus$ e Recursion Team. Nel 2024, l’FBI ha pubblicato un avvertimento ufficiale sul fenomeno.

Nel caso di Revolut, l’aggressore ha utilizzato un account appartenente a un dominio governativo legittimo. Un portavoce della società ha descritto l’incidente a TechCrunch come una sofisticata truffa di impersonificazione esterna. La banca digitale ha quindi bloccato l’indirizzo fraudolento. Secondo Revolut, l’incidente non ha coinvolto né i suoi sistemi né i fondi dei clienti. Al momento del rapporto, la società non aveva pubblicato una dichiarazione separata sulla vicenda. TechCrunch ha riferito dell’incidente qui:

“Revolut recently identified a sophisticated external impersonation scam in which an unauthorized third party used a legitimate government domain email to make fraudulent requests for information.” — Revolut spokesperson to TechCrunch

Revolut ha dichiarato di aver informato l’autorità interessata, le forze dell’ordine, le autorità per la protezione dei dati e gli organismi di vigilanza finanziaria. Tuttavia, non ha identificato l’autorità impersonata dagli aggressori. Non è inoltre chiaro se l’aggressore abbia compromesso l’account email governativo o falsificato tecnicamente il dominio. I precedenti mostrano che sono possibili entrambe le modalità.

Il metodo rappresenta una sfida particolare per gli istituti finanziari, che rispondono regolarmente a richieste ufficiali di informazioni. Verificare una richiesta urgente attraverso un secondo canale di comunicazione può richiedere più tempo di quanto il processo d’emergenza consenta.

Quali informazioni potrebbero essere state esposte

La comunicazione inviata ai clienti elenca un’ampia gamma di informazioni potenzialmente esposte. Comprende nomi, date di nascita, indirizzi postali ed email e numeri di telefono. La notifica fa inoltre riferimento a copie di documenti d’identità, inclusi passaporti e patenti di guida, oltre ai selfie di verifica raccolti durante il processo Know Your Customer (KYC), agli estratti conto e alle cronologie complete delle transazioni.

Le informazioni coprono quindi gran parte dei dati di onboarding e della cronologia degli account detenuti da una banca regolamentata. Revolut ha comunque descritto come limitato il numero di clienti informati direttamente. La società ha dichiarato che i fondi dei clienti non sono stati coinvolti.

Mark Karpelès, ex CEO dell’exchange crypto Mt. Gox, ha pubblicato una copia della notifica e ha dichiarato di essere tra i clienti interessati. La sua versione elencava inoltre IBAN, registri dei prelievi e cronologie complete delle transazioni, comprese quelle in Bitcoin. Questo potrebbe esporre i collegamenti tra i conti bancari dei singoli clienti e la loro attività in Bitcoin.

L’investigatore on-chain ZachXBT ha valutato la portata dell’incidente come limitata, ma ha ipotizzato che gli aggressori possano aver selezionato utenti relativamente facoltosi. Rimane inoltre incerto se l’incidente abbia interessato più di un mercato.

Ai sensi degli articoli 33 e 34 del Regolamento generale sulla protezione dei dati (GDPR), un incidente che coinvolge documenti d’identità, selfie biometrici e cronologie finanziarie complete può costituire una violazione ad alto rischio, tale da richiedere la notifica alle persone interessate. L’Ispettorato statale lituano per la protezione dei dati (VDAI) ha competenza sul caso perché Revolut detiene la propria licenza bancaria europea attraverso Revolut Bank UAB. La stessa entità è sottoposta alla supervisione della Bank of Lithuania e della Banca centrale europea (ECB). Le dichiarazioni del portavoce non chiariscono quando Revolut abbia informato per la prima volta le autorità di vigilanza.

La combinazione di dati KYC e Bitcoin crea rischi per la sicurezza

Un insieme di dati contenente un documento d’identità, un indirizzo di residenza e informazioni visibili sulle disponibilità in Bitcoin rappresenta più di un problema di privacy. Può trasformarsi in una lista di obiettivi. Nel settore crypto, combinazioni di questo tipo sono considerate fattori abilitanti per i cosiddetti wrench attack, nei quali i criminali ricorrono alla coercizione fisica per costringere le vittime a cedere l’accesso ai propri asset crypto.

Chi sa quanto Bitcoin possiede una persona e dove vive potrebbe non aver bisogno di lanciare un attacco tecnico. Le copie dei documenti d’identità e i selfie possono inoltre facilitare la presa di controllo di altri account. Una banca può sostituire il numero di una carta rubata, ma un’identità esposta non può essere sostituita.

Il numero di casi segnalati è aumentato nettamente. Un rapporto di CertiK ha contato 52 wrench attack verificati nella prima metà del 2026, con perdite di circa USD 124.1 milioni. Nello stesso periodo dell’anno precedente, il rapporto aveva registrato 39 incidenti, con un aumento del 33% nel numero di casi. Le perdite precedenti ammontavano a poco più di USD 10 milioni. L’incremento dei danni finanziari è stato quindi nettamente superiore all’aumento del numero di incidenti. Anche i documenti d’identità e gli indirizzi di residenza possono rimanere utili ai criminali per anni.

Revolut si aggiunge alla serie di violazioni di dati nel settore crypto

L’incidente che ha coinvolto Revolut segue diverse altre violazioni dei dati riguardanti società crypto. Nell’agosto 2026, una fuga di dati presso il fornitore di wallet SafePal ha interessato circa 39,798 clienti, anche se le chiavi private e i saldi non sono stati esposti. Nel caso di Trezor, le informazioni relative a circa 67,000 clienti statunitensi sono fuoriuscite attraverso il fornitore di servizi di spedizione ShipMonk. Un’ulteriore violazione presso il provider email del produttore di hardware wallet ha consentito attacchi di phishing inviati attraverso il dominio legittimo di Trezor. In entrambi i casi, la superficie d’attacco si trovava presso un fornitore di servizi utilizzato dal produttore.

Il precedente più rilevante ha riguardato Coinbase nel maggio 2025. Personale dell’assistenza all’estero, corrotto, ha fornito informazioni su circa 70,000 clienti. I dati comprendevano nomi, indirizzi, immagini dei documenti d’identità, cronologie delle transazioni e saldi degli account. Gli estorsori chiedevano USD 20 milioni, ma Coinbase non ha pagato. I costi di bonifica stimati dalla società hanno infine raggiunto una cifra compresa tra USD 180 milioni e USD 400 milioni, facendo sì che i costi successivi superassero di molte volte la richiesta. All’inizio del 2026, Coinbase ha poi subito un incidente interno di dimensioni più ridotte, che ha coinvolto circa 30 clienti.

In questi incidenti, gli aggressori hanno preso di mira l’accesso ai database dei clienti, anziché la custodia diretta degli asset crypto. I fornitori di servizi legati alle criptovalute raccolgono informazioni identificative particolarmente complete per motivi normativi. La self-custody offre quindi solo una protezione parziale contro questo tipo di esposizione, perché gran parte dei dati identificativi viene raccolta durante la registrazione.

Per Revolut, il momento dell’incidente aumenta il controllo regolamentare. L’approvazione condizionata dell’OCC e il lancio di EURR arrivano mentre la revisione della violazione dei dati è appena iniziata. Tra le questioni fattuali ancora aperte figurano il numero di account a cui è stato effettuato l’accesso, l’eventuale coinvolgimento di più mercati, il modo in cui l’identità governativa fraudolenta è stata ottenuta o imitata e le conclusioni delle autorità competenti sulla risposta di Revolut e sul suo processo di notifica.