Storia
settembre 16, 2026
La truffa via e-mail governativa contro Revolut ha messo a rischio i dati di quasi 700 clienti
L'episodio mette in luce una vulnerabilità nei canali affidabili utilizzati per le richieste ufficiali di dati: Revolut sottolinea che la frode è stata un'impersonificazione esterna e che i suoi sistemi principali sono rimasti integri, mentre i clienti coinvolti affrontano le conseguenze della divulgazione di dati personali altamente sensibili.
Revolut ha riconosciuto che dei truffatori hanno ottenuto informazioni sui clienti fingendosi funzionari governativi — una violazione che, secondo quanto riportato, ha coinvolto quasi 700 persone.1
L'inganno non si è basato su un'intrusione nell'infrastruttura della fintech, bensì sulla credibilità. Richieste fraudolente di informazioni sono arrivate da un dominio e-mail appartenente a una legittima agenzia governativa, consentendo a una terza parte non autorizzata di apparire ufficiale. Revolut l'ha descritta come una «sofisticata truffa esterna di impersonificazione», in cui l'aggressore ha utilizzato quel dominio legittimo per presentare richieste false.2
Il materiale consegnato era potenzialmente esteso: dati di identità e contatto, date di nascita, indirizzi postali ed e-mail, numeri di telefono e copie di passaporti o patenti di guida. La notifica di Revolut ai clienti interessati ha inoltre affermato che potrebbero essere stati inclusi selfie di verifica, estratti conto e cronologie delle transazioni.
Dopo aver individuato lo schema, l'azienda ha dichiarato di aver bloccato l'indirizzo e-mail, contattato i clienti interessati e allertato l'agenzia competente, le forze dell'ordine e le autorità di regolamentazione. Non ha nominato pubblicamente l'agenzia, né indicato se sia stato preso di mira un determinato mercato, né fornito un proprio conteggio preciso delle persone coinvolte.
La difesa centrale di Revolut è che l'incidente sia stato un abuso di un canale esterno affidabile, non una compromissione della sua piattaforma: «I sistemi Revolut e i fondi dei clienti non sono stati coinvolti». La distinzione può rassicurare i suoi oltre 80 milioni di clienti, ma fa poco per ridurre l'esposizione di coloro i cui documenti di identità e registri finanziari potrebbero ora essere nelle mani di criminali.
La divulgazione arriva mentre la fintech con sede a Londra si espande a livello internazionale e punta a una maggiore presenza bancaria, riportando l'attenzione su come le aziende verifichino richieste apparentemente ufficiali di dati dei clienti.