Revolut ha dato documenti e dati dei clienti a un finto ente governativo

Revolut ha consegnato documenti di identità e dati finanziari di una parte dei suoi clienti a un terzo che si era presentato come un'agenzia governativa. L'azienda ha confermato l'episodio il 12 settembre 2026, il giorno dopo l'invio della notifica ai clienti coinvolti, resa pubblica dall'investigatore on-chain ZachXBT. La richiesta era arrivata per email dal dominio reale di un'agenzia governativa e aveva superato tutti i controlli tecnici sul mittente, quindi è stata lavorata come una normale richiesta legale.

Nella notifica ai clienti, ripresa da TechCrunch, l'elenco di quello che è uscito comprende data di nascita, indirizzo di casa, email e numero di telefono, copie di passaporti e patenti e, per alcune posizioni, i selfie di verifica caricati durante l'iscrizione, gli estratti conto e lo storico delle transazioni, incluse quelle in Bitcoin. Revolut ha parlato prima di un gruppo molto limitato di clienti, poi di circa 680 persone contattate, dodici delle quali in Irlanda. Sistemi interni e fondi dei clienti non risultano toccati, secondo quanto dichiara l'azienda.

Perché tre controlli superati non dicono chi ha scritto

SPF, DKIM e DMARC sono gli standard che un server di posta usa per stabilire se un messaggio è partito davvero dall'infrastruttura del dominio che compare come mittente. SPF, definito nella RFC 7208, elenca in un record DNS quali server possono spedire per quel dominio. DKIM aggiunge una firma crittografica che dimostra che il contenuto non è stato manomesso in transito. DMARC dice al destinatario come comportarsi quando uno dei due fallisce, e la sua specifica è diventata uno standard IETF a maggio 2026 con la RFC 9989, che ha sostituito la vecchia RFC 7489 del 2015.

Nessuno dei tre risponde alla domanda che contava qui, cioè se la persona dietro quella casella avesse titolo per chiedere il passaporto di un cliente. Quando l'account usato per la frode opera dentro il dominio autentico, l'esito corretto dei controlli è positivo su tutti e tre, ed è quello che si sono trovati davanti gli addetti di Revolut. Non c'era nessun segnale tecnico di allarme, e la frode è emersa solo quando l'azienda ha ricontattato l'agenzia per un canale diverso dalla posta elettronica.

Il percorso usato è quello ordinario con cui gli intermediari finanziari rispondono alle richieste di dati delle autorità, dove la verifica di chi sta chiedendo resta una procedura interna e non un controllo automatico. Dopo la scoperta Revolut ha bloccato l'indirizzo e ha avvisato l'agenzia coinvolta, le forze dell'ordine e le autorità di vigilanza sui dati e sul credito.

Cosa resta senza conferma

L'Information Commissioner's Office, l'autorità britannica per la protezione dei dati, ha aperto un esame del caso dopo la segnalazione dell'azienda. Revolut non ha reso noto quale agenzia sia stata imitata, in quale paese, né come l'account non autorizzato sia arrivato a operare dentro quel dominio. Una casella pubblica compromessa dall'esterno e un accesso interno usato in modo improprio restano due ipotesi aperte, con conseguenze molto diverse sul piano della responsabilità.

I clienti contattati sono una frazione minima degli oltre 80 milioni che l'azienda dichiara nel mondo, ma la profondità del singolo fascicolo pesa più del numero. Un pacchetto che tiene insieme documento, selfie di verifica, indirizzo di casa e movimenti di conto è il materiale con cui si aprono rapporti a nome di altri o si costruiscono telefonate di raggiro che citano dati veri.

In Italia è circolata l'ipotesi che la richiesta sia partita da una casella PEC, ma nessuna fonte ufficiale l'ha confermata e l'azienda non ha indicato il paese di origine. Resta senza conferma anche la rivendicazione con richiesta di riscatto riferita dal Financial Times, su cui Revolut non si è espressa. Nella comunicazione ai clienti non compaiono password o codici di accesso tra i dati usciti.

La differenza tra questo episodio e una fuga di credenziali sta nella durata. Una password si cambia in trenta secondi, un numero di passaporto resta valido fino alla scadenza del documento e il volto ripreso nel selfie di verifica non scade mai. Per chi riceve richieste di questo tipo l'unica contromisura che regge è la verifica fuori banda, cioè richiamare l'ente su un recapito noto e verificato per altra via prima di rispondere, qualunque sia l'esito dell'autenticazione del messaggio.

Ricostruzione aggiornata al 15 settembre 2026.

Domande frequenti

SPF, DKIM e DMARC verificano l'identità di chi invia un'email?

No. I tre protocolli verificano che il messaggio provenga da un server autorizzato dal dominio indicato e che non sia stato alterato in transito. Non dicono nulla su chi sta usando quella casella in quel momento, né sul fatto che quella persona abbia l'autorità per chiedere quello che chiede.

Come faccio a sapere se il mio conto Revolut è coinvolto?

Revolut dichiara di avere contattato direttamente i clienti interessati, un gruppo che l'azienda ha indicato in circa 680 persone. Chi non ha ricevuto una comunicazione diretta non rientra in quel gruppo sulla base di quanto reso noto finora. L'azienda non ha diffuso un modulo o una pagina di verifica pubblica.

I fondi sui conti sono stati toccati?

Secondo la dichiarazione di Revolut i sistemi interni e i fondi dei clienti non sono stati coinvolti, dato che l'esposizione è nata dalla risposta a una richiesta ritenuta legittima. Quello che è uscito riguarda documenti di identità, dati anagrafici e storico dei movimenti.