Data breach Revolut: dati sensibili dei clienti esposti
Un data breach Revolut ha portato alla divulgazione non autorizzata di informazioni sensibili appartenenti a un numero limitato di clienti. L’incidente è stato confermato dalla fintech e riguarda una sofisticata tecnica di impersonificazione che ha sfruttato richieste apparentemente provenienti da un’agenzia governativa.
La violazione rappresenta un nuovo esempio dei rischi legati al social engineering e agli attacchi basati sulla falsificazione dell’identità di enti affidabili.
Cosa è successo a Revolut
Secondo le informazioni rese pubbliche, un soggetto non autorizzato avrebbe utilizzato un indirizzo email appartenente al dominio di una reale agenzia governativa per presentare richieste fraudolente a Revolut.
La tecnica di impersonificazione avrebbe indotto la società a fornire alcune informazioni riservate dei propri clienti a una terza parte non autorizzata. Revolut ha confermato l’incidente il 12 settembre 2026.
Quali dati dei clienti Revolut sono stati esposti
Le comunicazioni inviate ai clienti interessati indicano che tra le informazioni coinvolte potrebbero esserci date di nascita, indirizzi postali, indirizzi email e numeri di telefono.
Sono inoltre indicate copie di documenti utilizzati per l’identificazione, tra cui passaporti e patenti di guida. In alcuni casi potrebbero essere state coinvolte anche fotografie di verifica dell’identità, estratti conto e informazioni relative alle transazioni.
Ulteriori informazioni riportate da fonti che hanno analizzato la comunicazione di Revolut includono IBAN, dati relativi ai prelievi, professione e cronologia di alcune transazioni in bitcoin.
Un attacco basato sull’impersonificazione
L’elemento particolarmente significativo dell’incidente riguarda la tecnica utilizzata. Non si tratterebbe infatti di una compromissione diretta dei sistemi informatici di Revolut, ma di una truffa di impersonificazione finalizzata a ottenere informazioni attraverso richieste fraudolente.
Questo tipo di attacco dimostra quanto il fattore umano e i processi di verifica delle richieste esterne siano importanti nella protezione dei dati personali, anche all’interno di aziende finanziarie dotate di infrastrutture di sicurezza avanzate.
Revolut ha bloccato il mittente
Dopo aver individuato l’attività sospetta, Revolut ha dichiarato di aver bloccato l’indirizzo utilizzato per le richieste fraudolente. La società ha inoltre informato l’agenzia governativa coinvolta, le autorità di polizia, gli organismi responsabili della protezione dei dati e le autorità finanziarie competenti.
Secondo quanto comunicato dall’azienda, i sistemi informatici di Revolut e i fondi dei clienti non sarebbero stati compromessi direttamente dall’episodio.
Il possibile coinvolgimento di clienti VIP
Il 14 settembre è emersa anche una nuova segnalazione relativa al caso. Un post pubblicato online sostiene che un gruppo criminale starebbe diffondendo dati attribuiti a clienti VIP di Revolut, accompagnando la pubblicazione con richieste di pagamento e minacce di divulgare ulteriori messaggi privati, documenti dei clienti e materiale interno.
Queste informazioni devono essere considerate con cautela fino a quando non saranno confermate ufficialmente. L’eventuale autenticità dei dati e l’effettiva ampiezza della fuga di informazioni restano quindi elementi da verificare.
Perché il data breach Revolut è importante
L’incidente evidenzia un aspetto fondamentale della cybersecurity nel settore finanziario: non è sufficiente proteggere server, database e applicazioni. È necessario verificare anche l’autenticità delle richieste di accesso alle informazioni riservate.
Gli attacchi di social engineering possono infatti sfruttare la fiducia nei confronti di enti pubblici, aziende, clienti o altri soggetti apparentemente legittimi per ottenere informazioni che un attaccante non riuscirebbe a sottrarre direttamente attraverso una vulnerabilità tecnica.
Quali rischi corrono gli utenti interessati
L’esposizione di dati personali e documenti di identità può aumentare il rischio di phishing, furto d’identità, truffe personalizzate e tentativi di impersonificazione.
Gli utenti che ricevono comunicazioni relative alla violazione dovrebbero prestare particolare attenzione a email, SMS, telefonate e messaggi che richiedono password, codici di sicurezza, documenti, trasferimenti di denaro o altre informazioni personali.
Come proteggersi dopo una violazione dei dati
In caso di possibile coinvolgimento in un data breach, è consigliabile aumentare il livello di attenzione nei confronti delle comunicazioni ricevute e utilizzare esclusivamente i canali ufficiali dell’azienda per verificare eventuali richieste.
È inoltre importante utilizzare password uniche e robuste, attivare l’autenticazione a più fattori quando disponibile e non condividere mai codici di accesso o credenziali tramite email, telefono o messaggi non verificati.
Il ruolo della sicurezza dei dati personali
Il caso Revolut dimostra ancora una volta quanto sia delicata la gestione dei dati personali nel settore fintech. Informazioni come documenti di identità, indirizzi, numeri di telefono, coordinate bancarie e cronologia delle transazioni possono essere utilizzate per costruire attacchi mirati contro gli utenti.
Per questo motivo, aziende finanziarie e utenti devono adottare un approccio multilivello alla sicurezza, combinando controlli tecnologici, procedure interne, verifica delle richieste e formazione contro le tecniche di social engineering.
Conclusioni sul data breach Revolut
Il data breach Revolut del settembre 2026 evidenzia i rischi associati agli attacchi di impersonificazione e alla gestione delle richieste contenenti dati sensibili. L’azienda ha dichiarato di aver bloccato il mittente e di aver coinvolto le autorità competenti.
La vicenda resta comunque sotto osservazione, soprattutto alla luce delle successive segnalazioni sulla possibile diffusione di dati attribuiti a clienti VIP. Per gli utenti, la principale misura di sicurezza consiste nel mantenere alta l’attenzione e verificare sempre attraverso i canali ufficiali qualsiasi comunicazione relativa al proprio conto o ai propri dati personali.
