Revolut ha consegnato passaporti, selfie e cronologie bitcoin dei clienti a una falsa richiesta di un ente pubblico

Revolut ha comunicato a un gruppo di clienti di aver consegnato i loro documenti d'identità, i selfie di verifica, gli estratti conto e l'intera cronologia delle transazioni, bitcoin compresi, a qualcuno che li aveva richiesti a nome di un ente pubblico. Nessuno ha forzato la porta. La richiesta è arrivata da una casella sul dominio reale dell'ente, ha superato i controlli che confermano il dominio del mittente ed è stata evasa "nella ragionevole convinzione che si trattasse di una richiesta autentica di un ente pubblico". Le email di avviso sono partite l'11 settembre 2026.

Cosa ha detto Revolut ai clienti coinvolti

L'avviso, pubblicato come screenshot da ZachXBT il 12 settembre, è breve e insolitamente preciso su ciò che è uscito. Revolut "ha ricevuto una richiesta di informazioni sui clienti che sembrava provenire da un ente pubblico legittimo". La richiesta "proveniva da un account email non autorizzato, inviata direttamente dal dominio email ufficiale dell'ente". Poiché "recava credenziali di autenticazione di dominio valide, è stata evasa nella ragionevole convinzione che si trattasse di una richiesta autentica di un ente pubblico". L'azienda afferma di aver informato le autorità di vigilanza competenti e adottato misure di protezione precauzionali; il suo account di assistenza ha aggiunto soltanto che prende la protezione dei dati "molto sul serio".

L'elenco dei dati consegnati va letto due volte. Dati identificativi: nome completo, data di nascita, professione. Contatti: indirizzo postale, email, telefono. Documenti e verifica: una copia del passaporto o della patente e l'immagine di verifica del volto, il selfie scattato all'iscrizione, con la precisazione che "nessun dato biometrico di telemetria facciale" era coinvolto. Dati finanziari: estratti conto con IBAN, stato del conto, data di apertura e numero di riferimento del wallet, registri dei prelievi e cronologia completa delle transazioni, bitcoin inclusi. L'avviso elenca categorie che potrebbero essere state divulgate, non un inventario per cliente, e non menziona password, numeri di carta o chiavi private.

Come una richiesta falsa supera i controlli

L'espressione "credenziali di autenticazione di dominio valide" spiega il fallimento meglio di quanto Revolut probabilmente intendesse. L'autenticazione delle email, cioè i record SPF, DKIM e DMARC che i server di posta verificano, dimostra che un messaggio proviene davvero dal dominio dichiarato. Non dimostra nulla su chi fosse alla tastiera. Se il mittente ha usato un account sul dominio reale dell'ente, tutti i controlli tecnici passano, perché tecnicamente l'email è autentica. Resta solo la difesa procedurale: richiamare l'ente a un numero noto, pretendere un'ordinanza del tribunale o un modulo firmato, rifiutarsi di considerare un'email sufficiente per consegnare un passaporto e un libro mastro completo.

Il trucco non è nuovo. Nel 2022 emerse che Apple e Meta avevano consegnato dati degli utenti a criminali che inviavano false richieste d'emergenza da account email violati delle forze dell'ordine. Quelle richieste funzionavano perché sembravano urgenti e arrivavano dal dominio giusto, le stesse due proprietà visibili qui. A cambiare è il bottino. Un social network conserva un indirizzo IP e un numero di telefono. Una fintech regolamentata conserva il fascicolo completo di conoscenza del cliente, esattamente l'insieme di documenti che permette di aprire conti, superare verifiche e convincere un operatore a trasferire un numero.

Cosa consente questo fascicolo

Mettete insieme le categorie e il destinatario ha ciò che serve a un attacco mirato. Nome, data di nascita, indirizzo e copia del documento bastano per un furto d'identità e per superare la verifica di molti fornitori. Numero di telefono più documenti d'identità sono il kit di partenza per un SIM swap, e un SIM swap è il modo in cui i codici a due fattori inviati via SMS finiscono a qualcun altro. La cronologia delle transazioni, con prelievi di bitcoin verso wallet precisi, dice al destinatario chi detiene criptovalute, quanto si è mosso e dove, ed è per questo che l'osservazione di ZachXBT sugli utenti facoltosi conta: gli stessi dati che permettono la frode online permettono anche di presentarsi a un indirizzo. Revolut non è stata l'unica azienda a consegnare dati bancari e cripto questo mese; è la prima ad averlo fatto per una richiesta rivelatasi falsa.

Se hai ricevuto l'email

1. Verifica solo tramite l'app. Le stesse indicazioni di Revolut dicono di usare la chat di assistenza nell'app per controllare se un contatto è autentico; aspettati chiamate e messaggi da persone che ora conoscono il tuo nome, la tua banca e il tuo saldo e si spacceranno per Revolut, la polizia o il fisco.
2. Blocca il tuo numero di telefono. Chiedi all'operatore un PIN per la portabilità e il cambio SIM e sposta i codici a due fattori fuori dagli SMS ovunque il servizio accetti un'app di autenticazione o una chiave hardware.
3. Considera la copia del documento persa per sempre. Chiedi all'autorità emittente se passaporto o patente possono essere riemessi con un nuovo numero; dove non è possibile, la soluzione di riserva è un avviso di frode o un blocco del credito presso le centrali rischi del tuo paese.
4. Tratta ogni exchange e ogni wallet legato alla cronologia divulgata come un bersaglio noto. Cambia le password, controlla le whitelist dei prelievi e gli avvisi di accesso, e valuta se i fondi su un indirizzo ormai legato al tuo nome debbano restare lì.
5. Chiedi a Revolut, per iscritto, il resoconto completo: cosa è stato inviato, quando, a chi e quale autorità è stata informata. La normativa britannica ed europea sulla protezione dei dati te ne dà diritto, e la risposta determina cos'altro devi fare.