Fuga dati Revolut: un dominio governativo falso apre la breccia

Uno sviluppo di rilievo scuote i mercati delle criptovalute. Una fuga dati Revolut ha acceso i riflettori sulla sicurezza dei colossi fintech che gestiscono anche portafogli in criptovalute. L’investigatore on-chain ZachXBT ha reso pubblico, tramite il suo canale Telegram, un avviso interno dell’azienda che descrive come Revolut abbia consegnato dati sensibili di alcuni clienti a un mittente non autorizzato, dopo aver scambiato una richiesta fraudolenta per una comunicazione ufficiale di un ente governativo. Tra le informazioni finite nelle mani sbagliate ci sono documenti d’identità, selfie di verifica e cronologie complete delle transazioni, incluse quelle in Bitcoin.

Punti chiave ZachXBT ha condiviso su Telegram un avviso di Revolut relativo a una fuga dati causata da una richiesta governativa fraudolenta. Il mittente non autorizzato ha usato il dominio email ufficiale di un’agenzia governativa, superando i controlli di autenticazione. Tra i dati compromessi: nomi, documenti d’identità, selfie di verifica, IBAN, estratti conto e cronologie di transazioni con riferimenti a wallet Bitcoin.

Dinamiche di mercato

L’incidente appare limitato nel numero di account coinvolti e potrebbe aver preso di mira clienti ad alto patrimonio. Alcuni utenti hanno già ricevuto email di notifica ufficiali da Revolut, inviate venerdì 11 settembre. La fuga dati Revolut segnalata da ZachXBT Il caso emerge da uno screenshot di un avviso ufficiale Revolut, pubblicato da ZachXBT sul suo canale di investigazioni il 12 settembre 2026.

Il documento non riporta né il nome dell’agenzia governativa coinvolta né la data esatta della richiesta fraudolenta, ma conferma che l’azienda ha fornito informazioni finanziarie e identificative a un soggetto che si è finto un ente pubblico. Il ruolo dell’investigatore on-chain ZachXBT, noto per aver tracciato numerosi casi di frodi e violazioni nel settore crypto, ha reso pubblico l’avviso senza fornire un conteggio confermato degli account coinvolti. Ha però segnalato che diversi clienti hanno ricevuto un’email di allerta venerdì 11 settembre, e che l’attacco potrebbe aver preso di mira in modo specifico i clienti più ricchi della piattaforma.

Che tipo di dati sono stati compromessi Secondo la notifica, tra i dati diffusi figurano nomi completi, date di nascita, occupazioni, indirizzi postali, email e numeri di telefono. Sono state inoltre condivise copie di documenti d’identità come passaporti o patenti, insieme ai selfie di verifica richiesti in fase di onboarding — Revolut ha precisato che questi non includono dati biometrici di riconoscimento facciale. Gli estratti conto contenevano IBAN, stato dell’account, data di apertura e riferimenti ai wallet Bitcoin, oltre a cronologie complete di prelievi e transazioni, comprese quelle in Bitcoin.

Impatto sui mercati

Come una richiesta fraudolenta ha superato i controlli di Revolut Il punto più delicato della vicenda riguarda il modo in cui la richiesta fraudolenta è riuscita a passare inosservata. Il messaggio è stato inviato da un account non autorizzato che utilizzava il dominio email ufficiale di un’agenzia governativa, e non un indirizzo simile o contraffatto: questo ha permesso alla comunicazione di superare i controlli di autenticazione del dominio. Il dominio governativo usato per ingannare i sistemi Nella notifica, Revolut scrive che la richiesta conteneva “credenziali di autenticazione del dominio valide” e che per questo è stata soddisfatta “nella ragionevole convinzione che si trattasse di una richiesta autentica da parte di un’agenzia governativa”.

La formulazione lascia intendere che non ci sia stata un’intrusione diretta nei sistemi Revolut: nessun account risulta violato né sono stati prelevati fondi, secondo quanto emerge dal testo dell’avviso. Resta però un vuoto nella ricostruzione: non è chiaro come il mittente non autorizzato abbia potuto usare il dominio ufficiale dell’ente, né se l’agenzia in questione stia indagando sull’accaduto. Il caso mostra un punto debole spesso sottovalutato nella sicurezza informatica: anche sistemi di verifica tecnicamente solidi, come l’autenticazione del dominio email, possono essere sfruttati se la fonte a monte viene impersonata con successo.

Per un’azienda che serve oltre 80 milioni di clienti nel mondo, la questione non riguarda solo la reputazione, ma la fiducia stessa nel meccanismo con cui le richieste governative legittime vengono validate. Impatto della violazione: chi rischia e cosa cambia L’entità della fuga dati resta contenuta, almeno stando a quanto dichiarato finora. ZachXBT ha definito l’incidente limitato nel numero di account coinvolti, senza però fornire una cifra precisa.

Questo cambiamento continua a plasmare il panorama delle attività digitali.