Attacco hacker a Revolut, la banca ha spiegato la sua posizione

Il caso Revolut non è ancora chiuso. Alle 18.30 di ieri, giovedì 17 settembre 2026, è scaduto l'ultimatum imposto dal gruppo hacker IAmNotAVillain, che ha rivendicato il furto di un'ingente quantità di dati personali appartenenti ad alcune centinaia di clienti facoltosi: documenti, storico delle transazioni, fotografie utilizzate per il riconoscimento facciale e altre informazioni sensibili. I cybercriminali avevano chiesto un riscatto di tre milioni di dollari, minacciando di mettere in vendita i dati sottratti in caso di mancato pagamento. Nel momento in cui scriviamo, però, nessuna ritorsione è ancora stata resa pubblica. Resta solo una grande incertezza, anche perché sul caso aleggia il giallo di una PEC italiana che sarebbe stata usata per convincere la banca a consegnare i dati ai malviventi. Fanpage.it ha quindi contattato Revolut per ottenere alcuni chiarimenti.

A risponderci è stato un portavoce che ha fornito chiarimenti piuttosto standard, quasi sbrigativi, probabilmente giustificati dalla delicatezza del momento. La banca ha comunque sostenuto di aver individuato rapidamente l'anomalia e di aver avvisato le autorità competenti, sostenendo che né l'infrastruttura centrale, né i database, né tantomeno i conti dei clienti sono stati violati. Proviamo quindi a fare un punto della situazione.

I punti chiave della risposta di Revolut

Il primo elemento ribadito dalla società è che non c'è stata una compromissione diretta dei suoi sistemi. Nessun aggressore esterno è riuscito a violare le difese informatiche della banca. È una versione che ormai possiamo dare per consolidata. Secondo le attuali ricostruzioni – le abbiamo spiegate in questo articolo – i criminali hanno sfruttato il dominio email ufficiale di un'agenzia governativa (che poi si è rivelata essere la Prefettura di Reggio Calabria) per presentare richieste di informazioni nell'ambito dell'indagine per un processo penale. Il meccanismo si sarebbe basato proprio sulla natura obbligatoria delle richieste provenienti dalle autorità. Le istituzioni finanziarie sono infatti tenute a rispondere alle richieste ufficiali delle forze dell'ordine e delle agenzie governative. "Poiché le richieste presentavano un'autenticazione tecnica del dominio valida, sono state evase come standard di conformità legale, con la ragionevole aspettativa che si trattasse di un'indagine autentica dell'agenzia", ha spiegato l'azienda.

La platea degli utenti coinvolti, secondo le informazioni fornite dalla società, sarebbe comunque ristretta: circa 680 clienti individuati nell'ambito dell'indagine sullo specifico indirizzo email compromesso. Revolut afferma di averli contattati direttamente e di stare fornendo loro supporto attraverso i propri canali ordinari. Anche questo punto trova conferma nelle informazioni raccolte dai vari ricercatori che si stanno occupando del caso, come il team investigativo Duel, che su X ha spiegato di essere in contatto con IAmNotAVillain.

La posizione di Revolut: "Noi mai in contatto con i responsabili"

Una volta individuato l'incidente, Revolut sostiene di aver bloccato immediatamente l'indirizzo compromesso. Contestualmente, la fintech ha dichiarato di aver informato l'agenzia governativa interessata, le forze dell'ordine, l'autorità per la protezione dei dati e i regolatori finanziari.

Qui però arriva il punto dove le affermazioni della società stridono con ciò che finora è stato ricostruito dai media: Revolut afferma di non essere mai stata contattata direttamente dai responsabili. "Rigorosamente come informazione di contesto, Revolut non è stata contattata da alcun autore del reato", ha dichiarato il portavoce. La fintech non ha però voluto commentare oltre, affermando che a causa delle indagini in corso non le è consentito fornire maggiori dettagli sui dipartimenti o sugli enti coinvolti. La questione riguarderebbe da vicino l'Italia, poiché gli hacker hanno anche dichiarato di avere in mano ben 147 GB di dati del Ministero dell'Interno. Una rivendicazione che però al momento non risulta ancora confermata dalle autorità, come anticipato questa mattina dal Sole 24 Ore.

Cosa cambia per i clienti

Veniamo quindi a ciò che più interessa a chi è in possesso di un conto Revolut e teme di poter essere in qualche modo coinvolto dalla vicenda. La posizione comunicata da Revolut è che, allo stato attuale, l'operatività standard dei conti e i fondi dei clienti non hanno subito alterazioni. "I sistemi di Revolut e i fondi dei clienti non hanno subito alcun impatto", ha ribadito il portavoce.

La società ha comunque spiegato che continuerà a monitorare la situazione e ha promesso ulteriori aggiornamenti qualora emergano nuovi elementi. Per gli utenti, resta comunque importante mantenere alta l'attenzione, soprattutto nei confronti di eventuali tentativi di phishing che potrebbero sfruttare la vicenda per ottenere ulteriori informazioni. In caso di comunicazioni sospette, è consigliabile verificare sempre le notifiche e i messaggi direttamente nell'app ufficiale di Revolut e, se necessario, utilizzare i normali canali di assistenza della banca.