Revolut ha divulgato i dati KYC dei clienti dopo che una falsa richiesta governativa ha superato i controlli email

Un’identità governativa attendibile nascondeva una richiesta non autorizzata

Il 12 settembre 2026 Revolut ha confermato di aver divulgato dati sensibili dei clienti a una parte non autorizzata, dopo aver ricevuto una richiesta fraudolenta di dati da parte di un ente governativo.

Le notifiche ai clienti hanno iniziato a circolare l’11 settembre, secondo TechCrunch. Le ricostruzioni dell’incidente indicano che il messaggio è stato inviato tramite un’infrastruttura appartenente a un ente governativo autentico e conteneva credenziali valide associate al suo dominio ufficiale.

Queste caratteristiche hanno permesso all’email di superare i controlli di autenticazione di Revolut. Di conseguenza, i dipendenti l’hanno considerata una richiesta legale o normativa legittima e hanno fornito le informazioni richieste sui clienti.

In seguito Revolut ha contattato l’ente attraverso un canale indipendente. L’ente ha dichiarato di non aver inviato la richiesta, rivelando così che il mittente non era autorizzato, ma solo dopo che i dati erano già stati divulgati.

Non si è trattato di un’intrusione convenzionale nei sistemi di Revolut. Non risultano infezioni da malware, sfruttamento di una vulnerabilità software, accessi non autorizzati ai server dell’azienda o compromissioni dei saldi dei clienti. L’aggressore ha invece abusato di un’identità esterna attendibile per ottenere dati attraverso una procedura amministrativa apparentemente valida.

L’ente governativo coinvolto non è stato nominato.

Potenzialmente esposti passaporti, selfie e cronologie delle transazioni

I dati divulgati potevano comprendere gran parte delle informazioni raccolte da Revolut per la verifica dell’identità, la due diligence sui clienti e il monitoraggio finanziario.

I dati interessati potevano includere:

• Nome e cognome, date di nascita e professioni.
• Indirizzi postali, indirizzi email e numeri di telefono.
• Copie di passaporti o patenti di guida.
• Selfie dei clienti inviati durante la verifica dell’identità.
• Estratti conto contenenti IBAN, stato del conto e date di apertura.
• Numeri di riferimento dei wallet e registri dei prelievi.
• Cronologie complete delle transazioni, comprese quelle in Bitcoin.

Revolut ha dichiarato che i dati biometrici di telemetria facciale non sono stati compromessi. La distinzione è tecnicamente importante: un selfie usato per la verifica è un’immagine, mentre la telemetria biometrica si riferisce in genere a misurazioni o template generati dai sistemi che analizzano le caratteristiche fisiche.

Le immagini divulgate restano comunque dati sensibili. Un passaporto o una patente di guida associati a un selfie corrispondente possono aiutare i criminali a impersonare un cliente, aggirare le verifiche manuali dell’identità, creare account fraudolenti o rendere più credibili successivi tentativi di social engineering.

Le informazioni finanziarie aggiungono un ulteriore livello di rischio. Le cronologie delle transazioni possono rivelare controparti, abitudini di spesa, attività dei conti e indicatori della disponibilità economica di una persona. I dati relativi ai Bitcoin possono collegare l’attività in criptovalute a un’identità reale verificata, consentendo agli aggressori di costruire profili dettagliati dei singoli clienti.

Non risultano prove che dai dati divulgati siano stati sottratti fondi. L’assenza di un furto finanziario immediato, tuttavia, non elimina i rischi a lungo termine, come frodi d’identità, estorsioni e campagne di phishing altamente personalizzate.

L’autenticazione email ha verificato il dominio, non l’autorità del mittente

Gli elementi disponibili indicano un problema nella validazione delle richieste, non un malfunzionamento dei controlli interni sugli accessi di Revolut.

Sembra che l’aggressore abbia acquisito la capacità di inviare messaggi dall’ambiente del dominio legittimo dell’ente governativo. Sono state individuate due possibili modalità: potrebbe essere stato compromesso un account già esistente dell’ente, oppure potrebbe essere stato creato un account non autorizzato all’interno di quell’ambiente. Non è noto quale delle due ipotesi si sia verificata.

Poiché il messaggio è passato attraverso un’infrastruttura ufficiale, ha potuto superare i controlli tecnici usati da Revolut per valutare le email in arrivo. Meccanismi come SPF, DKIM e DMARC possono aiutare a stabilire se un messaggio è autorizzato dal dominio, firmato per suo conto o allineato a uno specifico dominio.

Non possono però stabilire l’autorità legale del mittente.

Un’email autenticata correttamente può comunque provenire da una casella compromessa, da un insider malevolo o da un account creato senza la dovuta approvazione. L’autenticazione del dominio risponde a domande sulla gestione del messaggio e sull’allineamento del dominio; non dimostra che la persona dietro l’account sia autorizzata a richiedere i dati dei clienti.

In questo caso, la verifica indipendente con l’ente ha rivelato l’inganno. La debolezza decisiva è stata che questa conferma è avvenuta dopo la divulgazione, anziché prima.

All’incidente non sono associati identificativi CVE, exploit o famiglie di malware. Non esistono inoltre versioni software interessate, perché l’evento non è stato attribuito a una vulnerabilità di prodotto.

Il numero di clienti e l’estensione geografica restano riservati

Revolut ha descritto la popolazione interessata come un numero limitato di clienti e ha dichiarato di aver contattato direttamente le persone coinvolte. Non ha reso noto il numero esatto, i Paesi interessati né se le richieste fossero limitate a un solo mercato.

Il ricercatore di sicurezza nel settore crypto ZachXBT ha valutato che l’operazione sembrasse prendere di mira clienti con un patrimonio elevato. Revolut non ha confermato questa valutazione, che tuttavia è coerente con il valore delle informazioni richieste.

Un operatore mirato potrebbe utilizzare estratti conto e cronologie delle criptovalute per individuare persone facoltose, stimarne il patrimonio, mappare le loro relazioni finanziarie e selezionarle per successive frodi o attività coercitive. I recapiti e i documenti d’identità fornirebbero poi il materiale necessario per rendere questi approcci più convincenti.

L’identità dell’aggressore è sconosciuta. Non è inoltre chiaro se i dati siano stati richiesti per frodi finanziarie dirette, raccolta di informazioni, estorsione, impersonificazione di account o per un altro scopo.

Revolut conta 80 milioni di clienti in tutto il mondo. L’incidente riguarda quindi solo una piccola parte dichiarata della sua base utenti, ma l’impatto sui singoli individui potrebbe essere grave, perché ogni pacchetto di dati esposto combina prove d’identità, canali di contatto e attività finanziarie.

La divulgazione arriva inoltre mentre Revolut punta a rafforzare il proprio riconoscimento normativo. L’azienda aveva recentemente ricevuto un’approvazione condizionata per diventare una banca nazionale negli Stati Uniti e, secondo quanto riportato, stava valutando un’offerta pubblica iniziale con una valutazione di 200 miliardi di dollari.

Revolut ha bloccato il mittente e informato le autorità

Revolut ha dichiarato che i propri sistemi e i fondi dei clienti non sono stati interessati. Dopo aver scoperto l’accaduto, l’azienda ha:

• Bloccato l’indirizzo email utilizzato per inviare la richiesta.
• Avvisato l’ente governativo.
• Informato le forze dell’ordine.
• Segnalato l’incidente alle autorità di regolamentazione finanziaria.
• Contattato direttamente i clienti interessati.

Bloccare un singolo indirizzo può impedire ulteriori richieste provenienti da quella specifica casella, ma non permette di stabilire se siano stati utilizzati altri account all’interno dello stesso ambiente dell’ente. Il fatto che l’identità dell’ente non sia stata resa nota limita inoltre la possibilità per altri istituti finanziari di verificare nei propri archivi di richieste legali la presenza di messaggi provenienti dalla stessa fonte.

Revolut non ha pubblicato l’indirizzo del mittente né altri indicatori tecnici. Non sono state divulgate prove che dimostrino che richieste analoghe abbiano raggiunto altre aziende sottoposte a regolamentazione.

Gli istituti finanziari che gestiscono richieste governative dovrebbero conservare i log delle richieste e cercare caselle email di enti insolite o comparse di recente. Le richieste di documenti d’identità, selfie per la verifica, estratti conto completi, identificativi di wallet o cronologie di criptovalute richiedono un’attenzione ulteriore, perché combinano categorie di informazioni particolarmente sensibili.

Le divulgazioni ad alto rischio dovrebbero richiedere una conferma fuori banda tramite un metodo di contatto già verificato, non un numero di telefono, un link o un contatto fornito nel messaggio in arrivo. Gli istituti possono inoltre mantenere elenchi dei richiedenti autorizzati degli enti e imporre una seconda approvazione prima di divulgare fascicoli completi e articolati sui clienti.

I clienti interessati devono aspettarsi tentativi convincenti di impersonificazione

I clienti informati da Revolut dovrebbero considerare permanenti i rischi associati all’esposizione delle proprie informazioni d’identità e finanziarie. Passaporti, cronologie delle transazioni e immagini usate per la verifica non possono tornare riservati semplicemente cambiando una password.

Le persone interessate dovrebbero esaminare con attenzione messaggi o chiamate che facciano riferimento ad attività reali su Revolut, transazioni in Bitcoin, informazioni sull’apertura del conto, indirizzi o altri dati accurati. Conoscere questi dettagli non dimostra che chi chiama rappresenti Revolut, un’autorità di regolamentazione o un’agenzia delle forze dell’ordine.

I clienti dovrebbero aprire autonomamente l’applicazione ufficiale di Revolut oppure utilizzare i canali di assistenza già noti, anziché seguire link contenuti in messaggi non richiesti. Dovrebbero inoltre monitorare i conti per individuare attività non autorizzate e prestare attenzione a eventuali tentativi di aprire prodotti finanziari a loro nome.

Il pericolo più probabile non è la ripetizione della richiesta originale. È l’uso di dati KYC autentici per far sembrare legittimo il prossimo tentativo di frode.