Revolut, dati di 700 clienti finiti ai truffatori: sotto esame una possibile pista italiana

Una sofisticata operazione di ingegneria sociale ha coinvolto Revolut e circa 680 suoi clienti, i cui dati personali sono stati consegnati a cybercriminali che si erano presentati come funzionari pubblici. La vicenda non sarebbe nata da un attacco diretto ai sistemi informatici della fintech, ma dall'utilizzo fraudolento di un indirizzo e-mail governativo autentico, precedentemente compromesso. Attraverso quell'account gli aggressori avrebbero inoltrato richieste apparentemente legittime per ottenere informazioni su determinati utenti. Revolut, ritenendo genuine le comunicazioni ricevute, avrebbe risposto trasmettendo una serie di dati sensibili. Il caso mostra quanto le nuove minacce informatiche possano sfruttare non soltanto vulnerabilità tecnologiche, ma soprattutto la fiducia riposta nei canali istituzionali.

Le informazioni finite nelle mani dei truffatori sarebbero particolarmente delicate. Tra i dati coinvolti figurano estremi dei passaporti, documenti d'identità, numeri di conto bancario, indirizzi di residenza e fotografie utilizzate per la verifica dell'identità. In alcuni casi sarebbero state trasmesse anche informazioni relative all'attività in Bitcoin. La disponibilità contemporanea di questi elementi aumenta il rischio di successive frodi, tentativi di impersonificazione e attacchi mirati contro le persone coinvolte. Revolut ha contattato i clienti interessati e ha avviato verifiche interne per ricostruire l'accaduto, sottolineando che i propri sistemi non sarebbero stati violati e che i fondi dei clienti restano al sicuro.

Particolarmente rilevante è la modalità utilizzata dai criminali. Invece di tentare di superare direttamente le difese tecnologiche della società, gli aggressori avrebbero preso il controllo di un account appartenente a un organismo pubblico e sfruttato l'autorevolezza dell'indirizzo per formulare richieste di informazioni. Una tecnica che rende più difficile distinguere una comunicazione fraudolenta da una vera richiesta investigativa. Secondo quanto emerso, Revolut avrebbe successivamente bloccato l'indirizzo utilizzato e segnalato l'accaduto alle autorità competenti. La società ha inoltre notificato la vicenda all'Information Commissioner's Office britannico, l'autorità responsabile della protezione dei dati nel Regno Unito, che ha avviato accertamenti.

Nell'inchiesta assume rilievo anche la possibile pista italiana collegata all'account istituzionale compromesso. Saranno gli accertamenti delle autorità a chiarire l'origine esatta delle richieste fraudolente, le modalità con cui i criminali sono riusciti ad assumere il controllo della casella di posta e l'eventuale coinvolgimento di infrastrutture o soggetti operanti in Italia. Proprio la natura autentica dell'indirizzo utilizzato rappresenta uno degli aspetti più delicati della vicenda: le procedure adottate dagli intermediari finanziari per rispondere alle richieste delle autorità devono infatti garantire rapidità nella collaborazione investigativa, ma anche verifiche sufficientemente robuste sull'identità effettiva del richiedente.

La violazione arriva mentre Revolut continua una forte espansione internazionale. La fintech conta ormai circa 80 milioni di clienti e opera in numerosi mercati con un'offerta che comprende conti, pagamenti, carte, investimenti e altri servizi finanziari digitali. Proprio le dimensioni raggiunte rendono la protezione dei dati un elemento strategico. La società ha investito negli ultimi anni in sistemi contro le frodi, introducendo strumenti capaci di segnalare operazioni sospette e funzioni pensate per contrastare le truffe basate sull'impersonificazione. L'episodio dimostra tuttavia che anche infrastrutture tecnologiche avanzate possono essere esposte quando l'attacco sfrutta credenziali appartenenti a soggetti considerati affidabili.

La questione investe più in generale l'intero settore bancario e fintech. Gli intermediari ricevono regolarmente richieste di informazioni da autorità giudiziarie, forze dell'ordine e organismi pubblici impegnati in indagini finanziarie. Se un criminale riesce a compromettere uno di questi canali, può trasformare uno strumento istituzionale di collaborazione in una porta d'accesso a informazioni estremamente sensibili. Diventano quindi essenziali sistemi di verifica aggiuntivi, autenticazione multilivello e procedure che consentano di confermare attraverso canali indipendenti la legittimità delle richieste più delicate.

Gli aggressori avrebbero inoltre minacciato di pubblicare i dati sottratti qualora non venissero soddisfatte le loro richieste, aggiungendo alla violazione un possibile tentativo di estorsione. L'attenzione si concentra ora sulle indagini delle autorità e sulla ricostruzione dell'intera catena dell'attacco, dalla compromissione dell'account istituzionale alla trasmissione delle informazioni. Per Revolut il caso rappresenta un banco di prova sul terreno della sicurezza e della gestione dei dati personali, mentre per tutto il sistema finanziario digitale emerge una vulnerabilità destinata a richiedere controlli più severi: non basta proteggere le proprie reti quando anche l'identità digitale di un interlocutore istituzionale può essere utilizzata come arma.