Revolut ha confermato di aver comunicato informazioni sensibili di alcuni clienti a un soggetto non autorizzato, dopo aver ricevuto richieste fraudolente presentate come provenienti da un ente pubblico. L’elemento più delicato dell’episodio è che i messaggi sono arrivati da un dominio email legittimo di un’agenzia governativa: una circostanza che può rendere molto più credibile una richiesta di dati rispetto ai normali tentativi di phishing o alle email costruite con indirizzi palesemente falsi.
La fintech londinese ha avvisato direttamente le persone interessate, senza rendere pubblico il numero esatto dei clienti coinvolti. In una comunicazione visionata da TechCrunch, Revolut indica che l’esposizione può riguardare dati identificativi e di contatto, fra cui data di nascita, indirizzo postale, email e numero di telefono. A seconda del caso, potrebbero essere stati condivisi anche copie di documenti come passaporti e patenti, selfie usati per le verifiche d’identità, estratti conto e cronologia delle transazioni.
L’azienda parla di un numero «limitato» di utenti colpiti. Non ha però precisato se l’incidente riguardi un particolare Paese o mercato, né quale agenzia pubblica sia stata impersonata. Sono dettagli rilevanti, perché consentirebbero di comprendere meglio sia il perimetro geografico dell’accaduto sia la natura della falla procedurale sfruttata dagli autori della frode.
Una frode costruita sulla fiducia nell’istituzione
Il caso non viene descritto da Revolut come una compromissione dei suoi sistemi informatici. Secondo la società, il problema nasce da una sofisticata operazione di impersonificazione esterna: un terzo non autorizzato ha utilizzato un indirizzo appartenente a un dominio governativo autentico per inoltrare richieste di informazioni ingannevoli. Revolut ha bloccato l’indirizzo email una volta individuata l’attività e ha segnalato l’episodio all’agenzia interessata, alle forze dell’ordine e alle autorità di regolazione competenti.
Questa distinzione conta, ma non riduce la portata del rischio per le persone coinvolte. Anche quando non avviene un’intrusione nella piattaforma bancaria, la consegna di un dossier di identificazione a un interlocutore fraudolento può creare conseguenze durature. Dati anagrafici, recapiti, documenti e informazioni sulle operazioni finanziarie possono essere impiegati per tentativi di furto d’identità, campagne di social engineering molto mirate o richieste fraudolente costruite con informazioni credibili.
La presenza di documenti d’identità e, potenzialmente, di selfie di verifica rende il quadro particolarmente sensibile. Non tutti i clienti notificati avrebbero necessariamente avuto esposti tutti gli elementi elencati da Revolut, ma la società ha incluso queste categorie nella comunicazione di violazione. Per chi riceve l’avviso, la misura più prudente è quindi considerare attendibile ogni rischio indicato dall’azienda e prestare attenzione a contatti che facciano riferimento a dati reali, a operazioni passate o a documenti già utilizzati durante le procedure di onboarding.
Le richieste delle autorità sono un punto critico per banche e fintech
Operatori finanziari come Revolut ricevono legittimamente richieste di informazioni da magistratura, forze dell’ordine e organismi pubblici. Devono conciliare obblighi normativi, indagini e tutela della privacy dei clienti. Proprio per questo, una richiesta apparentemente proveniente da un dominio istituzionale può inserirsi in un processo che, in condizioni ordinarie, è previsto e necessario.
L’episodio mostra però che l’affidabilità apparente del mittente non può costituire da sola una verifica sufficiente. Un dominio autentico può essere sfruttato in modi che Revolut non ha chiarito pubblicamente, e non è possibile stabilire dai dettagli disponibili se sia stato compromesso un account, se sia stata abusata un’infrastruttura dell’ente o se sia intervenuta un’altra forma di manipolazione. Attribuire una causa tecnica più precisa sarebbe quindi prematuro.
Resta il fatto che l’incidente chiama in causa i passaggi con cui vengono valutate e autorizzate le richieste più invasive. I controlli efficaci non dipendono soltanto dalla capacità di riconoscere email sospette, ma anche dalla verifica dell’identità del richiedente attraverso canali indipendenti, dalla coerenza tra domanda e base giuridica, da autorizzazioni interne adeguate e dalla limitazione dei dati trasmessi a quelli strettamente necessari. Revolut non ha illustrato quali controlli fossero stati applicati in questo caso né se cambierà le proprie procedure.
Per una realtà che opera in più giurisdizioni, il tema è ulteriormente complesso. Revolut dichiara oltre 80 milioni di clienti nel mondo e attività bancaria in più di 30 Paesi. Regole, interlocutori pubblici e modalità con cui vengono gestite le richieste di dati variano da territorio a territorio. L’assenza di informazioni sul Paese coinvolto impedisce per ora di valutare quali obblighi locali di notifica, protezione dei dati o cooperazione con le autorità possano entrare in gioco.
Quali rischi restano aperti per gli utenti coinvolti
Revolut ha affermato che i suoi sistemi e i fondi dei clienti non sono stati colpiti. È un’informazione importante: sulla base di quanto comunicato, non emergono indicazioni di accessi ai conti o sottrazioni di denaro attraverso l’infrastruttura della fintech. La violazione riguarda invece la divulgazione di informazioni a un soggetto non autorizzato, una categoria di incidente che può produrre danni successivi e meno immediati.
Il pericolo più concreto è che i dati ottenuti vengano combinati con altre informazioni già disponibili online o raccolte in precedenti violazioni. Un truffatore che conosca nome, indirizzo, data di nascita e abitudini di transazione può rendere più persuasiva un’email, una telefonata o un messaggio volto a ottenere codici, credenziali o ulteriori documenti. Per questo gli utenti avvisati dovrebbero diffidare soprattutto delle comunicazioni urgenti che chiedono di confermare identità, spostare fondi, condividere codici temporanei o aprire link ricevuti via email e SMS.
L’eventuale segnalazione di attività anomale va effettuata tramite i canali ufficiali dell’app o del sito di Revolut, non rispondendo al messaggio ricevuto. Conviene inoltre monitorare gli accessi e le operazioni del conto, conservare la comunicazione dell’azienda e prestare attenzione a possibili tentativi di apertura di servizi finanziari a proprio nome. Non sono misure che eliminano l’esposizione, ma aiutano a intercettare rapidamente abusi successivi.
Le questioni ancora senza risposta
La conferma di Revolut chiude il dubbio sull’autenticità della notifica circolata nelle ultime ore, ma lascia aperti diversi interrogativi. Non è noto quanti clienti siano stati interessati, quale fosse l’ente governativo coinvolto, in quale mercato si sia verificato l’episodio né per quanto tempo le richieste false siano riuscite a superare le verifiche. Non è stato chiarito nemmeno quali dati siano stati effettivamente consegnati in ciascun caso.
Il ricercatore di sicurezza crypto ZachXBT, che ha segnalato pubblicamente l’email inviata agli utenti colpiti, ha sostenuto che l’operazione sembrerebbe indirizzata a clienti con elevata disponibilità finanziaria. Si tratta tuttavia di una valutazione del ricercatore, non confermata da Revolut, e non consente di definire con certezza il profilo delle persone prese di mira.
Le prossime informazioni utili potrebbero arrivare dalle indagini dell’ente interessato, delle autorità e dei regolatori allertati dalla società. Nel frattempo, l’incidente ricorda che la protezione dei dati finanziari non si esaurisce nella difesa dei server e delle app: anche i flussi amministrativi basati sulla fiducia fra aziende e istituzioni possono diventare un bersaglio quando un attore malevolo riesce a presentarsi con credenziali apparentemente legittime.
