Rimani aggiornato con WebMasterPoint
La fuga di 150 GB attribuita a un attacco contro Revolut riporta al centro la sicurezza dei dati: tra italiani e passaporti diplomatici, restano da chiarire portata e riscatto. Ecco la risposta della società e cosa fare per proteggersi.
I criminali informatici del gruppo IAmNotAVillain hanno dichiarato di aver ottenuto 150 gigabyte di dati da Revolut, ma la realt per i clienti italiani molto diversa dal volume annunciato. Lattacco, avvenuto a met settembre 2026, ha utilizzato una casella di posta certificata compromessa della Prefettura di Reggio Calabria per ingannare la banca digitale. Mentre i file italiani vengono mostrati solo in anteprima su un sito del dark web, i numeri effettivi delle persone coinvolte in Italia restano incerti, con dichiarazioni contrastanti tra lhacker e le autorit governative.
Cosa successo nellattacco a Revolut
Il gruppo IAmNotAVillain ha ottenuto laccesso ai sistemi di Revolut fingendosi investigatori in unindagine giudiziaria. La truffa si basata su un indirizzo email ufficiale della prefettura di Reggio Calabria, violato in precedenza, con cui i criminali hanno inviato richieste alla banca. Dopo il rifiuto di pagare un riscatto iniziale di 3 milioni di dollari, gli hacker hanno aperto un leak site sulla rete Tor e iniziato a vendere i dati direttamente ai clienti coinvolti. I file contengono:
- informazioni personali,
- transazioni bancarie,
- selfie biometrici e
- copie di documenti di identit,
ma per ora solo anteprime sono visibili pubblicamente.
Dati italiani e passaporti diplomatici nel leak
Tra i materiali pubblicati ci sono riferimenti espliciti ai cosiddetti Italy files, una cartella da 147 gigabyte che include:
- documenti di funzionari pubblici,
- tessere sanitarie e
- passaporti diplomatici.
Il ministero dellInterno ha confermato che i criminali sono riusciti a compromettere anche circa 147 gigabyte di dati appartenenti allamministrazione italiana. Sebbene il leak site mostri solo una parte dei file, gli screenshot includono immagini di passaporti e patenti, oltre a estratti conto completi. La presenza di dati diplomatici aumenta il rischio di sfruttamento per scopi di spionaggio o ricatto internazionale.
Quanti italiani sono realmente coinvolti
Le stime sul numero di italiani colpiti divergono notevolmente. Lhacker sostiene che almeno 15 connazionali siano presenti nella lista dei dati rubati, mentre la sottosegretaria allInterno Wanda Ferro ha indicato in 8 il numero di clienti italiani su un totale di 680 colpiti in tutto il mondo. La discrepanza riflette la difficolt di conteggiare chi possiede documenti italiani ma risiede allestero, e chi ha subito la violazione dei dati pur non essendo direttamente contattato. Le autorit italiane stanno verificando ogni caso segnalato attraverso il Commissariato di Polizia online e il Garante per la protezione dei dati personali.
Riscatto e tattiche di estorsione
Dopo il fallimento della richiesta alla banca, il gruppo ha adottato una strategia di double extortion, chiedendo denaro sia a Revolut che ai singoli clienti. Chi paga riceve la promessa di rimozione dei dati dal database, ma non esiste prova verificabile che la copia sia stata effettivamente cancellata. Secondo il perito informatico Paolo Dal Checco, i criminali adattano limporto richiesto alla capacit di pagamento di ciascun cliente, utilizzando estratti conto per stimare il patrimonio. Questa tattica, nota come wrench attack, combina:
- identit,
- indirizzo
- e informazioni finanziarie
per creare una leva di ricatto particolarmente efficace contro possessori di criptovalute.
Risposta di Revolut e indagini delle autorit
Revolut ha dichiarato pubblicamente che i fondi dei clienti non sono stati prelevati e che non ha ricevuto contatti diretti dagli estorsori. La banca ha collaborato con lAgenzia per la cybersicurezza nazionale (ACN) e con la Financial Conduct Authority (FCA) del Regno Unito. In Italia, la Procura di Reggio Calabria indaga per accesso abusivo a sistema informatico di interesse pubblico, mentre il Garante privacy ha inviato una circolare a tutte le banche italiane per verificare comunicazioni anomale e adottare misure immediate di sicurezza. La banca digitale ha anche implementato un sistema di notifica per i clienti che ricevono richieste sospette.
Cosa devono fare i clienti per proteggersi
Chi riceve una richiesta di pagamento dovrebbe non rispondere e non pagare, conservando screenshot e dettagli del contatto come prova. fondamentale segnalare laccaduto alla Polizia Postale tramite il Commissariato online e informare Revolut attraverso lassistenza in app. Qualsiasi email o telefonata che citi dati personali specifici deve essere trattata come sospetta. Per i possessori di criptovalute, spostare i fondi su wallet non collegati al conto esposto riduce il rischio di furto fisico. Infine, consigliabile monitorare regolarmente laccount per individuare attivit non riconosciute e rafforzare lautenticazione a due fattori con metodi aggiuntivi oltre agli SMS.