Revolut, il data breach di settembre 2026: cosa è confermato, cosa no e cosa chiedere

Il 12 settembre 2026 Revolut ha comunicato che informazioni sensibili di una parte dei suoi clienti sono state consegnate a un soggetto non autorizzato, dopo richieste fraudolente arrivate da un indirizzo email di un dominio governativo. Nelle settimane successive sono circolati numeri e ricostruzioni, in parte diffusi da chi rivendica l'attacco. Questo articolo separa ciò che è documentato da ciò che è solo dichiarato, rivendicato o non verificato, e raccoglie le domande che restano aperte. Non contiene dati delle persone coinvolte né link a materiale sottratto.

Cronologia essenziale

• 12 settembre 2026: Revolut comunica l'incidente. Lo riportano, tra gli altri, The Paypers e PYMNTS, che citano Reuters e Bloomberg.
• 15 settembre: Sky TG24 riferisce dell'indagine della polizia informatica per accesso abusivo a sistema informatico e frode informatica.
• 16 settembre: secondo il Wall Street Journal, citato da PYMNTS, Revolut è oggetto di minacce di estorsione da parte di chi rivendica l'attacco.
• 18 settembre: il Garante per la protezione dei dati personali pubblica una nota sul caso.
• 7 ottobre: secondo Reuters, citata da PYMNTS, il responsabile per l'Europa occidentale di Revolut dice che la società coprirà i costi di nuovi documenti d'identità per i clienti coinvolti.

VERIFICATO: cosa dice il Garante

L'unico documento primario di un'autorità che abbiamo potuto leggere integralmente è la nota del Garante italiano del 18 settembre 2026. Dice, in sintesi:

• è partita una verifica immediata sulla sicurezza degli accessi delle banche italiane, per capire se ci siano stati altri tentativi come quello subito da Revolut;
• gli uffici del Garante hanno scritto alla rete dei responsabili della protezione dei dati (DPO) delle banche, chiedendo di controllare i propri sistemi per escludere comunicazioni «anomale» provenienti dalla stessa casella PEC, e di contattare subito l'Autorità se emergono casi simili, informandola ai sensi dell'articolo 33 del GDPR;
• il Garante ha informato l'autorità lituana, dove Revolut ha la sede legale principale, e le ha chiesto di confermare se ha ricevuto una notifica di violazione da Revolut in Lituania e di condividere le informazioni utili, anche per capire se siano coinvolte altre banche attive in Italia;
• l'Autorità si è mossa anche con il Ministero dell'Interno, per capire se altre banche o istituti siano coinvolti e quali dati siano stati compromessi;
• la vicenda, scrive il Garante, ha evidenziato «alcuni lati deboli delle Pec ufficiali in uso».

Due precisazioni. Il Garante non indica quale casella PEC sia stata usata, né da quale ente. E la nota è del Garante italiano: l'autorità lituana, competente in prima battuta sulla società, non risulta aver pubblicato un comunicato su questo episodio che abbiamo potuto trovare.

DICHIARATO DA REVOLUT

La posizione della società, come riportata da Sky TG24, PYMNTS e The Paypers:

• la società ha comunicato l'incidente il 12 settembre 2026 (data riportata da The Paypers e PYMNTS, che citano Reuters e Bloomberg);
• si è trattato di una «sofisticata truffa di impersonificazione esterna», in cui un soggetto non autorizzato ha usato l'indirizzo email di un dominio legittimo di un'agenzia governativa per presentare richieste fraudolente di informazioni;
• appena individuata la frode, l'indirizzo è stato bloccato e sono stati informati l'agenzia interessata, le forze dell'ordine, le autorità per la protezione dei dati e quelle di vigilanza finanziaria;
• i sistemi di Revolut e i fondi dei clienti non sono stati toccati;
• le persone coinvolte sono state contattate direttamente;
• le richieste provenienti da domini governativi verificati vengono trattate come richieste legali obbligatorie; in questo caso, contenendo una valida autenticazione tecnica del dominio, sono state soddisfatte «con la ragionevole aspettativa che si trattasse di un'indagine autentica»;
• secondo la email inviata ai clienti, citata da PYMNTS che a sua volta cita TechCrunch, i dati esposti comprendono identità e contatti (data di nascita, indirizzi, telefono), documenti come passaporti e patenti, e possibilmente selfie di verifica, estratti conto e storico delle transazioni.

Il numero. Si parla di circa 680 clienti. Le fonti non concordano su chi lo abbia fornito: Sky TG24 lo attribuisce alla società, mentre The Paypers e SecurityWeek scrivono che Revolut non ha reso noto il numero. Il 7 ottobre, secondo Reuters citata da PYMNTS, il responsabile per l'Europa occidentale ha parlato di assistenza ai 680 clienti coinvolti. Non è invece noto, da fonti ufficiali, quanti siano i clienti italiani.

RIVENDICATO da chi dice di aver compiuto l'attacco

Tutto ciò che segue proviene da soggetti che hanno interesse a esagerare o a creare clamore. Lo riportiamo perché è parte della notizia, non perché sia provato.

• Un soggetto che si fa chiamare «IAmNotAVillain» ha dichiarato al Financial Times, secondo Sky TG24, di aver contattato Revolut per la prima volta un paio di mesi prima spacciandosi per un'autorità di polizia italiana, e che la società avrebbe risposto alle richieste «come un bravo ragazzo».
• Secondo SecurityWeek, lo stesso soggetto ha chiesto pubblicamente 3 milioni di dollari, minacciando di vendere i dati. Revolut ha risposto a SecurityWeek di non aver ricevuto «alcun contatto o richiesta diretta» da chi avanza queste rivendicazioni. Altre testate riportano cifre diverse per la richiesta; non le consideriamo verificate.
• Sempre secondo SecurityWeek, in comunicazioni separate gli autori hanno affermato che la campagna sarebbe durata cinque o sei mesi e avrebbe incluso il furto di oltre 147 GB di dati da un'agenzia di polizia italiana.
• Secondo il Wall Street Journal, citato da PYMNTS, l'autore avrebbe diffuso parti di dati di clienti minacciando di diffonderne altri. Revolut, interpellata dal giornale, ha detto di aver avvisato le forze dell'ordine e non ha commentato oltre.

Un punto va tenuto separato dal resto: l'idea che Revolut abbia evaso le richieste «per mesi» e «senza controllare» è, allo stato, una rivendicazione di chi dice di aver compiuto l'attacco. Revolut sostiene di aver applicato la procedura prevista per le richieste legali. Nessuna fonte indipendente che abbiamo letto documenta per quanto tempo né con quali verifiche siano state gestite le richieste.

NON VERIFICATO

• La casella PEC e l'ente. SecurityWeek scrive che l'indirizzo compromesso su pec.interno.it «sembra appartenere» a un dipendente del Ministero dell'Interno e riporta l'analisi della società di sicurezza Hudson Rock, che parla di più di 300 credenziali associate a quel dominio e di una probabile origine da credenziali già rubate. È un'ipotesi di un'azienda privata, non un accertamento. BusinessOnline osserva che nessuna fonte indipendente ha confermato la compromissione di quella specifica casella e che i dettagli provengono da documenti diffusi dagli stessi autori. Alcuni media hanno indicato un ente preciso: non è confermato e non lo riportiamo.
• Le indagini. Sky TG24 riferisce dell'indagine della polizia informatica. Secondo BusinessOnline sarebbe aperta anche un'istruttoria dell'autorità britannica per la protezione dei dati (ICO) dal 15 settembre; non abbiamo trovato un documento dell'ICO che lo confermi.
• Il lato crypto. Alcune testate parlano di movimenti in bitcoin tra i dati esposti. La email ai clienti, per come riportata, parla genericamente di estratti conto e storico delle transazioni; non abbiamo una fonte primaria sul dettaglio.
• Il numero definitivo di persone coinvolte e l'eventuale coinvolgimento di altre banche o istituzioni.

Le domande aperte

Quello che segue non è un'accusa: sono le domande a cui, in base ai documenti disponibili, nessuno ha ancora risposto pubblicamente.

1. Quali controlli applica Revolut alle richieste di dati che arrivano da autorità, oltre all'autenticazione tecnica del dominio di posta? Esiste una verifica indipendente, per esempio una richiamata a un contatto già noto?
2. Quante richieste sono state evase, in quale arco di tempo, e come sono state registrate e riesaminate prima della scoperta?
3. Che cosa ha ricevuto l'autorità lituana, e quando? La notifica di violazione prevista dall'articolo 33 del GDPR è stata inviata entro 72 ore dalla scoperta?
4. Quanti clienti italiani sono coinvolti e sono stati informati singolarmente?
5. Quale casella PEC è stata usata, da quando era compromessa e chi ne risponde? Il Garante parla di «lati deboli» delle PEC ufficiali: quali, e con quali interventi?
6. Perché il numero dei clienti coinvolti è stato comunicato solo in seguito, e da chi?
7. Le misure annunciate (costo dei nuovi documenti d'identità) valgono per tutti i coinvolti, in tutti i paesi, e quali altre tutele sono previste?

Se usi un conto digitale o detieni crypto: indicazioni prudenti

Queste sono indicazioni generali, non consulenza. Non ci sono elementi, nelle fonti che abbiamo letto, per dire che i fondi dei clienti siano a rischio: la società dichiara che fondi e sistemi non sono stati toccati. Il rischio documentato riguarda i dati personali.

• Controlla le comunicazioni solo dall'app ufficiale. Dopo un caso del genere aumentano le email e i messaggi falsi che offrono «assistenza», «recupero dati» o «verifica dell'identità». Non cliccare link ricevuti e non comunicare codici o frasi di recupero a nessuno.
• Se hai ricevuto una notifica di coinvolgimento, conserva il messaggio, valuta con calma se sostituire il documento d'identità (la società ha dichiarato di coprire i costi per i clienti coinvolti, secondo Reuters) e controlla periodicamente movimenti e posizioni a tuo nome.
• Non rispondere né pagare chi dice di avere i tuoi dati. Conserva le prove e segnala alla Polizia Postale. Non cercare né diffondere materiale sottratto.
• Autenticazione. Preferisci app di autenticazione o chiavi fisiche agli SMS e usa un indirizzo email dedicato ai servizi finanziari.
• Riservatezza. Chi sa che detieni crypto può diventare un bersaglio di truffe mirate. Evita di rendere pubblici saldi e movimenti e valuta con attenzione dove tenere le tue chiavi.
• Non decidere sull'onda del panico. Se pensi di cambiare servizio, fallo con calma, verificando prima che il nuovo operatore sia autorizzato (per i prestatori di servizi crypto vedi la nostra guida alla verifica nel registro MiCA) e senza spostare fondi in fretta verso piattaforme sconosciute.

Domande frequenti