Revolut consegna dati di clienti a un finto pubblico ministero italiano: la truffa durata cinque mesi

15 Settembre 2026

www.kulturjam.it è un quotidiano online indipendente completamente autofinanziato. Il nostro lavoro di informazione viene costantemente boicottato dagli algoritmi dei social. Per seguirci senza censure, oltre alla ricerca diretta sul nostro sito, iscrivetevi al nostro canale Telegram o alla newsletter settimanale.

Revolut conferma di aver consegnato dati sensibili di centinaia di clienti a un finto ordine giudiziario italiano, falsificato ma inviato da un dominio email governativo reale. La truffa è durata cinque mesi senza controlli. Documenti, passaporti e cronologia crypto compromessi.

Revolut si fida di un’email vera con dentro una bugia, per cinque mesi

Il 12 settembre 2026 Revolut ha confermato pubblicamente, in una dichiarazione rilanciata da TechCrunch e ripresa dall’Irish Times, di aver subito quella che l’azienda ha definito una «sofisticata truffa di impersonificazione esterna»: un soggetto non autorizzato ha utilizzato un dominio email appartenente a un’agenzia governativa reale per inviare richieste fraudolente di informazioni sui clienti.

Il caso è emerso pubblicamente dopo che l’investigatore blockchain ZachXBT ha segnalato la notifica di violazione inviata ai clienti coinvolti. Secondo la ricostruzione circolata tra più testate specializzate in sicurezza informatica, tra cui Zyphe e Shattered, le richieste fraudolente erano formalmente indistinguibili da quelle legittime perché superavano i controlli tecnici di autenticazione del dominio mittente: un’email tecnicamente genuina, spedita da un indirizzo reale, ma con contenuto interamente falsificato.

I documenti circolati online, coerenti con quanto mostrato negli screenshot allegati, riproducono un Ordine di Indagine Europeo intestato alla Procura della Repubblica presso il Tribunale di Milano, datato 4 maggio 2026, indirizzato a Revolut Bank UAB con sede a Vilnius, con richiesta di dati bancari e finanziari collegati a indirizzi di deposito in criptovalute.

Tra i dati sottratti, secondo le fonti citate, figurano nomi completi, date di nascita, indirizzi, copie di passaporti e patenti, selfie di verifica biometrica, IBAN, estratti conto e cronologia completa delle transazioni, Bitcoin incluso. Una fonte parla di almeno 680 clienti coinvolti, mentre l’aggressore ha successivamente minacciato di rilasciare progressivamente altri dati se Revolut non avesse pagato un riscatto.

Il materiale diffuso dal team investigativo di Duel, che dichiara di essere in contatto diretto con l’autore dell’attacco, aggiunge dettagli che al momento restano non verificabili in modo indipendente ma che risultano coerenti con la dinamica tecnica confermata da Revolut stessa: l’accesso iniziale sarebbe avvenuto tramite un infostealer installato sul dispositivo di un dipendente pubblico, con successiva registrazione di un indirizzo di recupero email e monitoraggio silenzioso della casella compromessa, comprensivo di cancellazione immediata di ogni risposta non pertinente per evitare che il legittimo titolare si accorgesse dell’intrusione.

Duel sostiene inoltre che l’aggressore abbia inviato richieste analoghe per cinque mesi consecutivi senza che Revolut sollevasse mai un dubbio, arrivando in un’occasione a correggere il richiedente su un documento sbagliato invece di insospettirsi. Su questo punto specifico, così come sulle presunte minacce di rapimento rivolte a una delle vittime, prevale la cautela: si tratta di affermazioni della fonte investigativa, non ancora confermate da autorità terze.

Il paradosso del KYC che protegge tutti tranne chi dovrebbe

Il sistema Know Your Customer, imposto ai clienti con la scusa sacrosanta dell’antiriciclaggio, ha costretto milioni di persone comuni a fotografarsi il volto, scannerizzare il passaporto e giustificare ogni bonifico sopra i mille euro, mentre l’istituto che raccoglieva questi dati con tanto zelo si è fatto infilare, per cinque mesi, richieste fasulle da un indirizzo email genuino ma controllato da un estraneo.

Il controllo, a quanto pare, funziona benissimo quando si tratta di verificare se il correntista sia davvero chi dice di essere. Funziona molto meno quando si tratta di verificare se la controparte istituzionale che chiede i dati sia davvero un pubblico ministero italiano o un ragazzo con un dominio rubato e una discreta pazienza.

Chi paga il conto della fiducia cieca nei formati ufficiali

Il punto debole, riconosciuto dagli stessi analisti di sicurezza consultati dalle testate citate, non era tecnologico ma procedurale: un’email tecnicamente autenticata è stata trattata come prova sufficiente di legittimità sostanziale, senza alcuna verifica incrociata con l’autorità apparentemente richiedente.

È lo stesso meccanismo, del resto, con cui funzionano da sempre le truffe più efficaci, quelle che non bucano un sistema informatico ma sfruttano la fiducia automatica riposta in un’intestazione ufficiale, in un logo riconoscibile, in un linguaggio burocratico che nessuno si prende la briga di controllare telefonando direttamente all’ufficio mittente.

Revolut ha dichiarato di aver bloccato l’indirizzo, allertato l’agenzia impersonata, le forze dell’ordine e le autorità di protezione dati e vigilanza finanziaria, senza però precisare quali regolatori esattamente siano stati coinvolti né chiarire con quale criterio cinque mesi di richieste identiche non abbiano mai attivato un controllo manuale. Nel frattempo, chi ha davvero pagato il prezzo della fiducia cieca del sistema bancario nei propri stessi protocolli non è la banca, che parla di fondi mai toccati come se dati e denaro non fossero, nella vita reale di chi li possiede, esattamente la stessa cosa da proteggere.

Sostieni Kulturjam

Kulturjam.it è un quotidiano indipendente senza finanziamenti, completamente gratuito.

I nostri articoli sono gratuiti e lo saranno sempre. Nessun abbonamento.
Se vuoi sostenerci e aiutarci a crescere, nessuna donazione, ma puoi acquistare i nostri gadget.

Sostieni Kulturjam, sostieni l’informazione libera e indipendente.

VAI AL NOSTRO BOOKSTORE