A settembre 2026, Revolut ha confermato un incidente che ha coinvolto circa 680 clienti. Ma parlare semplicemente di “attacco hacker a Revolut” può essere fuorviante: secondo le informazioni disponibili, i sistemi di questa azienda di servizi finanziari non sono stati violati direttamente.
Gli attaccanti avrebbero invece compromesso una casella PEC riconducibile alla Prefettura di Reggio Calabria e l’avrebbero usata per inviare a Revolut richieste fraudolente di informazioni, presentandosi come rappresentanti delle autorità italiane.
Revolut ha trattato queste richieste come legittime e ha consegnato i dati relativi ad alcuni clienti. Il CSIRT Italia ha successivamente confermato la compromissione della casella di posta tramite l’analisi di una delle email fraudolente.
Il caso Revolut 2026 è interessante perché mostra quanto sia cambiato il panorama delle frodi online: gli aggressori non hanno dovuto entrare nei sistemi della banca, ma hanno sfruttato un canale istituzionale autentico per rendere credibili richieste false.
In questo articolo vediamo esattamente cos’è successo durante l’attacco hacker a Revolut, qual è l’obiettivo di questo attacco, com’è potuto succedere e quali dati sono rimasti esposti.
Attacco hacker Revolut: cos’è successo
Secondo la ricostruzione emersa finora, gli hacker hanno ottenuto accesso a una casella PEC istituzionale italiana e l’hanno utilizzata per contattare l’azienda Revolut nel Regno Unito. Le email chiedevano informazioni su clienti specifici e sembravano attendibili proprio perché provenivano da un dominio istituzionale esistente.
In un primo momento, le richieste non avrebbero destato sospetti. Revolut ha quindi fornito i dati richiesti attraverso le normali procedure utilizzate per rispondere alle autorità. Le comunicazioni sono proseguite fino a quando l’azienda ha deciso di verificare direttamente con l’istituzione italiana, che ha negato di aver inviato quelle richieste.
È a quel punto che la frode è emersa. Il Ministero dell’Interno ha poi confermato che la casella compromessa era riferibile alla Prefettura di Reggio Calabria. Secondo le verifiche comunicate in Parlamento, tra i circa 680 clienti coinvolti figurano inizialmente 8 italiani.
Revolut è stata davvero hackerata?
Cominciamo a fare chiarezza, per non alimentare falsi allarmismi e sensazionalismo. Revolut non è stata hackerata nel senso classico del termine. Da quanto dichiarato dall’azienda e ricostruito dalle autorità, gli aggressori non sono entrati direttamente nei sistemi informatici di Revolut, ma hanno sfruttato una casella email governativa compromessa per presentare richieste false come se provenissero da un’autorità legittima.
In altre parole, gli aggressori non hanno sfruttato una vulnerabilità tecnica dei sistemi di Revolut, ma la fiducia accordata a una comunicazione proveniente da un canale autentico. Revolut ha dichiarato che i propri sistemi e i fondi dei clienti non sono stati compromessi.
Come hanno fatto gli hacker a rendere credibili le richieste
Questo è l’aspetto più interessante dell’intera vicenda, perché ci insegna quanto sia mutevole e versatile il cybercrimine, e come si possa arrivare agli stessi obiettivi attraverso decine di percorsi e canali diversi.
Le richieste non arrivavano da un indirizzo creato appositamente per imitare un ente pubblico, come nel phishing tradizionale, ma da una casella collegata a un’infrastruttura istituzionale reale. Questo rende molto più difficile distinguere immediatamente una comunicazione autentica da una fraudolenta, sia per i filtri e i sistemi automatizzati dei provider di posta sia per il destinatario diretto delle email.
Secondo RaiNews, il CSIRT Italia (Computer Security Incident Response Team nazionale) ha accertato la compromissione analizzando un campione di una delle email utilizzate dagli attaccanti. Le indagini devono ancora chiarire esattamente come sia stato ottenuto l’accesso e quale dispositivo o sistema sia stato compromesso.
Questo dettaglio è importante: al momento non sappiamo ancora con certezza se l’accesso sia avvenuto tramite malware, furto di credenziali o un’altra tecnica, o addirittura tramite la collaborazione di una persona interna.
Quali dati sono stati esposti
L’attacco ha preso di mira i dati sensibili di alcuni clienti, tra cui profili con patrimoni e investimenti considerevoli in criptovalute. Le informazioni coinvolte variano da cliente a cliente; tra i dati che potrebbero essere stati consegnati troviamo:
- Nome e cognome
- Data di nascita
- Indirizzo di casa
- Numero di telefono
- Indirizzo email
- Documenti di identità
- Fotografie utilizzate per la verifica dell’identità
- IBAN
- Estratti conto
- Cronologia delle transazioni
- Informazioni relative alle operazioni in criptovalute
In alcuni casi, quindi, non si tratta soltanto di dati di contatto, ma di un insieme molto dettagliato di informazioni personali e finanziarie.
Qual è l’obiettivo dell’attacco a Revolut?
Il rischio principale non è necessariamente che qualcuno possa entrare direttamente nel conto Revolut dei 680 clienti coinvolti. Informazioni così dettagliate possono però essere utilizzate per pianificare attacchi successivi molto più credibili.
Un criminale che conosce nome, indirizzo, numero di telefono, banca utilizzata e perfino alcune transazioni può:
- Creare messaggi di spear phishing estremamente personalizzati
- Utilizzare l’identità della vittima per attaccare altre persone o aziende
- Ottenere accesso ad altri account attraverso tecniche di social engineering
- Lanciare attacchi di SIM swapping
- Inviare false richieste di recupero dell’account
- Ricattare le vittime minacciando di pubblicare i dati sul dark web (come effettivamente è avvenuto finora)
Come si vede, il problema delle esfiltrazioni di dati non è (solo) l’attacco diretto all’account della vittima, ma tutta una serie di attacchi secondari, che in alcuni casi possono essere anche più gravi, se riescono a colpire account aziendali o informazioni critiche.
La richiesta di riscatto e la vendita dei dati
Dopo la diffusione della notizia, un gruppo che sostiene di essere responsabile dell’attacco ha minacciato di vendere i dati ottenuti e ha pubblicato una richiesta di riscatto di 3 milioni di dollari.
Revolut ha però dichiarato di non aver ricevuto direttamente alcuna richiesta dal gruppo. Successivamente, secondo quanto riportato dalla stampa, gli attaccanti avrebbero iniziato a minacciare direttamente anche i singoli clienti, offrendo la possibilità di escludere i propri dati dalle future vendite in cambio di un pagamento.
È importante sottolineare che queste promesse non offrono alcuna garanzia reale: una volta che i dati sono stati copiati, non esiste un modo per sapere se siano stati davvero cancellati o se continuino a circolare.
Questo vale anche per le richieste di riscatto successive agli attacchi ransomware: la parola di un cybercriminale non vale molto, e i dati potrebbero essere pubblicati comunque nei database di informazioni esposte sul dark web, rivenduti ad altri criminali o accompagnati da altre richieste di denaro, finché la vittima continua a pagare.
In questi casi, le autorità sono chiare: non bisogna pagare.
Le perplessità sul processo di verifica
Dal nostro punto di vista, la parte dell’attacco a Revolut che resta più difficile da chiarire riguarda le verifiche effettuate prima della consegna dei dati: perché Revolut ha accettato la richiesta? L’ha controllata? Ha verificato la fonte e l’attendibilità del messaggio?
Chiariamo subito che è normale che banche e società finanziarie ricevano richieste di informazioni dalle autorità nell’ambito di indagini o procedimenti legali. Revolut dispone infatti di canali specifici per gestire ordini giudiziari e richieste ufficiali.
La domanda, quindi, non è perché Revolut abbia risposto a un’autorità, ma quali controlli siano stati effettuati per verificare che le richieste fossero realmente autorizzate.
Il fatto che le email provenissero da una casella istituzionale autentica ha sicuramente aumentato la loro credibilità. Tuttavia, al momento non sappiamo quali siano le procedure interne di Revolut, né se fossero previste verifiche aggiuntive attraverso un secondo canale.
Per questo è prematuro parlare di assenza di protocolli o di un errore da parte di un dipendente. Quello che sappiamo è che una richiesta fraudolenta è riuscita a superare i controlli previsti.
I soldi sui conti Revolut sono a rischio?
Facciamo chiarezza anche su questo punto, dato che alcuni di voi potrebbero avere un conto Revolut ed essere preoccupati per i propri risparmi e dati personali: al momento non risultano furti di denaro collegati direttamente a questo incidente. Revolut ha dichiarato che i propri sistemi e i fondi dei clienti non sono stati violati.
Questo significa che l’incidente riguarda l’esposizione di dati personali di account specifici, non l’accesso diretto ai conti di migliaia di utenti. In altre parole, se non hai ricevuto un messaggio da Revolut perché il tuo account rientra nei pochissimi coinvolti da questa esposizione, non hai motivo per preoccuparti.
Rischio di phishing secondario
A proposito di messaggi di Revolut, un rischio concreto che si crea dopo questo tipo di esposizioni è che i clienti subiscano tentativi di phishing successivi, che sfruttano l’incertezza e la paura del momento.
Revolut consiglia di verificare qualsiasi contatto sospetto direttamente attraverso la chat dell’app e ricorda che non chiede mai di effettuare pagamenti o comunicare codici di sicurezza tramite telefonate non concordate.
In particolare, ecco alcuni consigli di sicurezza per i prossimi giorni:
- Non fidarti di un messaggio solo perché contiene dati corretti su di te
- Verifica le comunicazioni direttamente nell’app o attraverso i canali ufficiali
- Non comunicare codici di autenticazione
- Controlla regolarmente movimenti e notifiche
- Usa password diverse per ogni servizio
- Attiva l’autenticazione a più fattori
- Segnala immediatamente eventuali attività sospette
L’attacco a Revolut ci insegna che i cybercriminali possono arrivare ai nostri dati anche senza violare direttamente i sistemi informatici di un’azienda, sfruttando invece la fiducia accordata a persone, procedure e canali apparentemente affidabili.
A maggior ragione, quindi, è importante verificare le informazioni che vengono rilasciate in seguito a questi attacchi prima di farsi prendere dal panico o credere a eventuali messaggi e richieste.
Domande frequenti sull’attacco a Revolut
Revolut è stata hackerata?
No, non si può dire che Revolut sia stata hackerata direttamente, secondo le informazioni disponibili. Gli aggressori hanno utilizzato una casella PEC istituzionale italiana compromessa per inviare richieste fraudolente di dati a Revolut, nel Regno Unito.
Quanti clienti Revolut sono stati colpiti?
Circa 680 clienti. Secondo le informazioni comunicate dal Ministero dell’Interno, sono stati coinvolti 8 clienti italiani. Si tratta di profili finanziari di alto livello, soprattutto collegati a investimenti e operazioni in criptovalute.
Sono stati rubati soldi dai conti Revolut?
No. Revolut ha dichiarato che i fondi dei clienti e i propri sistemi non sono stati compromessi.
Come faccio a sapere se i miei dati sono coinvolti?
Revolut ha dichiarato di aver contattato direttamente i clienti interessati. In caso di dubbi, è meglio verificare tramite la chat ufficiale dell’app invece di rispondere a email o messaggi ricevuti.
Devo cambiare la password Revolut?
Non è necessario farlo automaticamente se non ci sono segnali di compromissione dell’account. Però, puoi approfittare di questo momento per controllare se hai riutilizzato la stessa password per altri account e sostituire quelle riutilizzate con password uniche e robuste.
I dati esposti possono essere usati per altre truffe?
Sì, questo è il rischio più concreto. I dati rubati possono essere usati per organizzare truffe mirate, scrivere messaggi di phishing personalizzati e credibili, rubare l’identità della vittima e provare ad accedere ad altri account collegati.
L’attacco a Revolut significa che la PEC non è sicura?
No. Il caso non dimostra che la PEC sia intrinsecamente insicura. Dimostra invece che anche un canale affidabile può essere utilizzato in modo fraudolento se l’account che lo utilizza viene compromesso.
Cosa devo fare se ricevo un messaggio sospetto che cita Revolut?
Non cliccare sui link e non fornire dati o codici. Apri direttamente l’app di Revolut e contatta l’assistenza attraverso la chat ufficiale per controllare se la comunicazione è autentica.
CONTINUA A LEGGERE: Password rubate online: come vengono usate nel 2026
