Revolut sembra aver divulgato informazioni sensibili sui clienti dopo aver risposto a una richiesta fraudolenta elaborata in modo da sembrare proveniente da un’agenzia governativa legittima.

L’investigatore on-chain ZachXBT ha rivelato l’incidente il 12 settembre. Secondo il suo racconto, la richiesta utilizzava il dominio e-mail ufficiale dell’agenzia e aveva superato i controlli di autenticazione del dominio. In seguito, Revolut ha stabilito che la comunicazione non era autorizzata.

Il numero dei clienti coinvolti non è ancora chiaro. ZachXBT ha affermato che l’incidente sembrava limitato nella portata e che potrebbe aver preso di mira utenti con un elevato patrimonio netto. Le informazioni potenzialmente esposte includevano documenti d’identità, indirizzi di casa, numeri di telefono e dati finanziari.

Revolut avrebbe divulgato indirizzi, documenti d’identità e dati finanziari

Secondo quanto riferito, un’e-mail inviata da Revolut agli utenti coinvolti affermava che erano state divulgate informazioni sensibili e dati personali identificabili. I dati comprendevano nomi completi, date di nascita, occupazioni, informazioni su passaporti e/o patenti di guida, selfie di verifica, indirizzi e-mail e indirizzi postali dei clienti.

L’e-mail affermava inoltre che la risposta di Revolut comprendeva informazioni finanziarie come estratti conto, International Bank Account Numbers (IBAN), registri dei prelievi e cronologie complete delle transazioni, comprese quelle in Bitcoin.

Revolut, una neobanca che ha recentemente ricevuto l’approvazione condizionata per una licenza bancaria dall’Office of the Comptroller of the Currency (OCC) degli Stati Uniti, ha dichiarato nell’e-mail che i conti degli utenti erano rimasti sicuri. La società non ha ancora rilasciato una dichiarazione pubblica sull’incidente. Un’ulteriore comunicazione aziendale dovrebbe chiarire la portata dell’incidente e le misure adottate in risposta, ma tali dettagli non sono stati resi pubblici nelle informazioni disponibili qui.

Gli utenti coinvolti sollevano dubbi su KYC e sicurezza fisica

Alcuni utenti coinvolti hanno successivamente parlato pubblicamente. L’imprenditore del settore crypto e fondatore della Aave Chan Initiative Marc Zeller ha confermato di essere tra le persone colpite. Ha dichiarato che Revolut gli aveva inizialmente inviato un’e-mail chiedendo diverse informazioni personali e minacciando di chiudere il suo conto entro 20 giorni. Zeller ritiene ora che la società fintech stesse agendo sulla base della richiesta governativa fraudolenta in quel momento.

Zeller ha criticato i requisiti know-your-customer (KYC), affermando che “non hanno prodotto vantaggi significativi e hanno messo molti in pericolo”.

L’esposizione potrebbe aumentare il rischio di phishing e di altre truffe mirate per i clienti coinvolti. La divulgazione degli indirizzi di casa solleva inoltre preoccupazioni riguardo ai cosiddetti attacchi wrench, nei quali i criminali prendono fisicamente di mira gli utenti crypto per sottrarre loro i beni.

Secondo CertiK, nella prima metà del 2026 si sono verificati 52 attacchi wrench verificati, di cui 33 in Francia. Le autorità francesi hanno riportato una cifra più elevata. Il ministro dell’Interno francese Laurent Nuñez ha dichiarato che nella prima metà dell’anno si sono verificati 77 casi di rapimento ed estorsione collegati alle crypto.

CertiK ha affermato che l’esposizione finanziaria derivante da questi attacchi ha raggiunto $124 milioni, rispetto ai $10.5 milioni della prima metà del 2025. La società ha indicato le principali violazioni dei dati come uno dei fattori alla base dell’elevata concentrazione degli attacchi in Francia.

Fonti: indagine di ZachXBT, Marc Zeller su X, rapporto di CertiK, The Market Periodical.