Caso Revolut: riscatto da 10.000 bitcoin e verifiche italiane sulla mail usata

Chi sostiene di avere ottenuto i dati dei clienti Revolut ha chiesto un riscatto di 10.000 bitcoin e ha iniziato a pubblicare campioni del materiale su alcuni canali Telegram, minacciando di diffonderne altro ogni giorno finché l'azienda non paga. Lo ha documentato The Register, che ha visto i post e ha stimato la richiesta in oltre 782 milioni di dollari. Revolut non ha commentato la richiesta di riscatto.

Sul fronte delle autorità, l'Information Commissioner's Office britannico ha aperto un'indagine lunedì 14 settembre, dopo la segnalazione arrivata dall'azienda nei giorni precedenti. I clienti contattati restano circa 680, il numero riferito dal Financial Times e coerente con quanto Revolut ha comunicato in Irlanda, dove le persone coinvolte sono dodici. In Italia, secondo quanto scrive Milano Finanza, stanno lavorando al caso Banca d'Italia e l'Agenzia per la cybersicurezza nazionale.

Su cosa si concentrano le verifiche italiane

La domanda che le due autorità stanno affrontando è la stessa che decide la gravità dell'intera vicenda, cioè se l'email sia stata falsificata dall'esterno oppure sia partita davvero da una casella istituzionale, e in quel caso da sistemi violati. Le ricostruzioni di stampa parlano di una PEC italiana come punto di partenza della richiesta, e La Stampa ha indicato come possibili riferimenti la Guardia di Finanza o l'Unità di informazione finanziaria di Banca d'Italia. Revolut non ha confermato né il paese né l'ente.

La distinzione tecnica conta perché nel primo caso si tratterebbe di spoofing, cioè della falsificazione del mittente, che l'autenticazione del dominio intercetta quasi sempre. Nel secondo caso la posta partirebbe da un'infrastruttura autentica, e allora i controlli darebbero esito positivo perché stanno funzionando come devono. La ricostruzione di Revolut, secondo cui la richiesta portava credenziali di dominio valide, è compatibile con la seconda ipotesi, che resta comunque da dimostrare.

Cosa sostiene l'attaccante e cosa nessuno ha verificato

L'account International Cyber Digest, che dice di essere in contatto con l'autore dell'attacco, ha pubblicato il 14 settembre una serie di affermazioni attribuite a un soggetto che si fa chiamare IAmNotAVillain. Secondo quelle dichiarazioni l'operazione sarebbe durata sei mesi, avrebbe sfruttato sistemi di più dipartimenti delle forze dell'ordine italiane e avrebbe fruttato 147 GB di materiale interno, oltre ai dati Revolut relativi a residenti di una trentina di paesi, Italia compresa.

Nessuno di questi elementi ha una conferma indipendente. Il Viminale, l'ACN e la Polizia non hanno confermato alcuna compromissione, e la dimensione di un archivio dichiarata da chi lo rivendica è uno degli indicatori meno affidabili in un'analisi di incidente, perché una schermata di cartelle non dice da dove provengono i file. Anche l'elenco dei paesi coinvolti arriva dall'attaccante, non dall'azienda, e Revolut continua a non indicare mercati specifici.

Sulle persone colpite l'unico nome emerso per via diretta è quello di Mark Karpelès, ex amministratore delegato di Mt Gox, che ha raccontato al Financial Times di avere ricevuto la notifica di Revolut alle 5.25 del mattino del 12 settembre e di averla scambiata inizialmente per un tentativo di truffa. Gli altri nomi circolati provengono dai campioni pubblicati dagli stessi autori del ricatto, quindi la loro presenza nell'archivio resta una rivendicazione.

Per chi usa Revolut la posizione pratica non cambia rispetto a venerdì. L'azienda dichiara di avere contattato direttamente le persone coinvolte e ribadisce che sistemi e fondi non sono stati toccati, mentre la pubblicazione progressiva del materiale sposta il rischio sul fronte dell'uso dei documenti di identità e delle telefonate di raggiro costruite su dati veri.

Ricostruzione aggiornata al 15 settembre 2026.