Revolut ha confermato a BeInCrypto che qualcuno l’ha effettivamente ingannata facendole consegnare file dei clienti, file che – secondo quanto comunicato dalla stessa società – contenevano passaporti, selfie e registri di Bitcoin. L’azienda parla di un attacco sofisticato. Quello che descrive, però, è una semplice email.
Il messaggio è arrivato da un dominio email reale di un’agenzia governativa. Disponeva delle credenziali di dominio autentiche. Revolut lo ha ritenuto valido e ha inviato i file richiesti.
Cosa Dice Revolut sia Accaduto
Un portavoce di Revolut ha spiegato a BeInCrypto che la banca ha bloccato il mittente non appena ha rilevato il problema.
"Revolut ha recentemente identificato un sofisticato attacco esterno di impersonificazione, in cui una parte terza non autorizzata ha utilizzato una email con dominio legittimo di un’agenzia governativa per inviare richieste fraudolente di informazioni... I sistemi di Revolut e i fondi dei clienti non sono stati interessati."
Seguici su X per ricevere tutte le notizie in tempo reale
L’azienda afferma di aver avvisato l’agenzia, la polizia e le autorità di regolamentazione sulla protezione dei dati e quella finanziaria. Ha anche contattato quelle che definisce le persone coinvolte, in numero limitato.
La Parte che la Dichiarazione Non Racconta
Revolut dichiara che i conti restano sicuri. Ed è vero, ma non è questo il problema.
Codici di accesso, credenziali di login e dati biometrici non sono mai stati esposti, ha spiegato la banca a BeInCrypto. Nessun movimento di denaro.
Le comunicazioni inviate ai clienti descrivono diversamente la situazione. Specificano che il selfie di verifica è stato inviato, ed escludono solo la telemetria facciale biometrica, cioè il modello della faccia che viene creato dal sistema a partire da una foto. La foto in sé è un’altra storia.
Queste notifiche elencano il resto. Passaporti. Patenti di guida. Indirizzi di residenza. Estratti conto bancari. L’intero storico dei movimenti in entrata e uscita di Bitcoin.
Revolut avrebbe consegnato passaporti e registri di Bitcoin dopo una richiesta falsa di un ente governativo. Fonte: ZachXBT Per cambiare una password basta un minuto. Un passaporto, invece, no.
Revolut non specifica quale dominio di quale agenzia sia stato utilizzato, citando l’indagine di polizia in corso. Quindi nessuno fuori dall’azienda sa se una casella istituzionale sia stata violata o se sia stato qualcuno già dentro a premere il tasto di invio.
L’investigatore blockchain ZachXBT, che per lavoro traccia le crypto rubate, ha segnalato la fuga di dati, sottolineando che avrebbe coinvolto un piccolo gruppo di utenti e sembrava mirata a quelli più facoltosi.
Woke up to all my data leaked by @Revolut .
— Marc Zeller (@mzeller) September 12, 2026
Sharp reminder that KYC hasn’t produced meaningful upside and has put many in harm’s way. pic.twitter.com/RimOBQr7DW
Liste di clienti rubate hanno già alimentato rischi di phishing dopo altri attacchi. Indirizzi di residenza trapelati sono stati seguiti da aggressioni violente nei confronti dei detentori.
C’è anche un secondo modo di leggere la parola “sofisticato”. Secondo la stessa ricostruzione di Revolut, l’attaccante ha scritto una email e ha aspettato. La parte ingegnosa è avvenuta dentro il sistema di posta governativo. La parte costosa, invece, è successa proprio dentro Revolut.
Leggi la storia originale Revolut conferma che una finta email governativa ha sottratto passaporti e registri Bitcoin: chi l’ha inviata? di Lockridge Okoth su it.beincrypto.com