Falsi agenti via PEC istituzionale ottengono dati di clienti Revolut: ultimi aggiornamenti

Revolut ha consegnato dati personali di una parte dei propri clienti a un soggetto non autorizzato che si presentava come autorità pubblica. La società fintech britannica lo ha confermato il 12 settembre 2026 in una dichiarazione a Reuters, in cui descrive una truffa di impersonificazione. Le richieste di informazioni partivano da una casella su un dominio legittimo di un’agenzia governativa e sono state trattate come autentiche. Secondo Revolut, i sistemi interni e i fondi dei clienti non sono stati toccati.

Il Financial Times riporta che i clienti avvisati sono circa 680, mentre Revolut parla solo di un numero molto limitato e non ha diffuso un conteggio ufficiale. In Italia indaga la Polizia postale per accesso abusivo a sistema informatico e frode informatica. Fonti citate da Agi e dal Corriere della Sera indicano come casella usata la PEC della Prefettura di Reggio Calabria, con messaggi firmati a nome della Polizia postale. Alle 9.00 del 16 settembre 2026 né Revolut né il Viminale, l’Agenzia per la cybersicurezza nazionale o la Polizia postale hanno confermato quale ente sia stato coinvolto.

Come una casella istituzionale ha superato i controlli

Le banche devono rispondere alle richieste di dati delle autorità giudiziarie, e Revolut ha evaso quelle ricevute come obblighi di legge. Nella comunicazione inviata ai clienti la società spiega che i messaggi avevano credenziali valide di autenticazione del dominio, cioè le firme e i record tecnici che attestano che una mail parte davvero dai server autorizzati a spedire per quell’indirizzo. La posta elettronica certificata aggiunge ricevute firmate dal gestore che provano invio e consegna. Nessuno di questi controlli verifica chi abbia scritto il messaggio, quindi una casella finita in mani sbagliate li supera tutti.

È il punto che gli investigatori devono ancora chiarire. Secondo quanto risulta a MF-Milano Finanza, le verifiche riguardano l’origine dei messaggi, cioè se si tratti di spoofing (la falsificazione dell’identità del mittente) oppure di mail autentiche partite da una violazione dei sistemi dell’autorità, ipotesi molto più grave.

La ricostruzione dell’agenzia Ansa sulla PEC compromessa segnala due anomalie nelle richieste, che sarebbero andate avanti per circa cinque mesi. Erano firmate dalla Polizia postale ma spedite dalla PEC di una prefettura, mentre la Polizia postale ha propri indirizzi certificati. Mancava inoltre il decreto dell’autorità giudiziaria che di norma accompagna le acquisizioni di dati personali.

Quali dati sono usciti e cosa resta da confermare

Secondo le notifiche ai clienti rese pubbliche, tra i dati consegnati figurano nomi, documenti d’identità e passaporti, informazioni sui conti e sulle operazioni in criptovalute. Revolut dichiara di aver bloccato l’indirizzo appena scoperta la frode e di aver avvisato l’ente coinvolto, le forze dell’ordine, i garanti per la protezione dei dati e i regolatori finanziari. Nel Regno Unito l’Information Commissioner’s Office, l’autorità per la privacy, ha aperto un’indagine. In Italia sul caso lavorano anche Banca d’Italia e ACN, mentre i senatori Lorenzo Basso e Antonio Nicita hanno presentato un’interrogazione urgente al ministro dell’Interno Matteo Piantedosi, nella quale indicano la Prefettura di Reggio Calabria come mittente.

Il quotidiano londinese che ha diffuso il dato sui 680 clienti riferisce anche che chi rivendica l’attacco ha chiesto un riscatto e minaccia di pubblicare i dati. Un account Telegram poi sospeso ha diffuso materiale e sostiene di aver avuto accesso per mesi a sistemi delle forze dell’ordine italiane, affermazione che non ha trovato verifica.

Restano da confermare l’ente di cui è stata usata la casella, il modo in cui l’accesso è stato ottenuto, il numero ufficiale dei clienti coinvolti e l’eventuale uso dello stesso canale contro altri istituti finanziari soggetti a vigilanza. Nelle fonti disponibili non trova conferma nemmeno la presenza dei selfie di verifica tra i dati consegnati.