Caso Revolut, indagine in Italia dopo richieste fraudolente riconducibili a una casella PEC della Prefettura di Reggio Calabria
La Procura di Reggio Calabria ha aperto un fascicolo per intrusione in un sistema informatico di pubblico interesse; il Garante avvia verifiche sui sistemi di accesso degli istituti bancari
La vicenda, ricostruita il 16 settembre 2026, riguarda richieste fraudolente che avrebbero consentito l'ottenimento di dati appartenenti a clienti di Revolut. L'azienda ha confermato che circa 680 clienti europei sono stati interessati e ha dichiarato che i fondi dei clienti non sono stati toccati.
Secondo la ricostruzione riportata, tra le informazioni sottratte figurerebbero documenti d'identità, indirizzi, fotografie utilizzate per la verifica, dati degli account e cronologie delle transazioni, comprese quelle relative alle criptovalute. Revolut ha inoltre indicato che i suoi sistemi non sarebbero stati direttamente violati: gli aggressori avrebbero sfruttato una casella PEC istituzionale compromessa per presentare come legittime le richieste di accesso ai dati.
La casella PEC è stata associata alla Prefettura di Reggio Calabria, con dominio pec.interno.it. In seguito alla segnalazione la Procura della Repubblica di Reggio Calabria ha aperto un'inchiesta ipotizzando il reato di intrusione in un sistema informatico di pubblico interesse. Gli investigatori hanno però precisato di non avere al momento certezza che sia stato compromesso un computer della Prefettura o del Ministero dell'Interno.
Si è attivata anche la Direzione nazionale antimafia e antiterrorismo, che interviene quando la violazione riguarda un ente governativo. La prima informativa della Polizia Postale ha descritto l'azione come molto sofisticata. Le verifiche sono in corso per stabilire se la casella PEC sia stata effettivamente violata o eventualmente clonato il messaggio.
Il Garante per la Privacy ha avviato una verifica sulle eventuali falle nei sistemi di accesso delle banche italiane, invitando i responsabili della protezione dei dati degli istituti a controllare i propri sistemi e a segnalare eventuali vulnerabilità. L'Autorità ha inoltre avviato uno scambio di informazioni con l'omologa autorità lituana, dove Revolut ha la propria sede legale principale.
A complicare il quadro è la rivendicazione del gruppo hacker IAmNotAVillain, che sostiene di aver ottenuto circa 147 gigabyte di dati appartenenti a sistemi delle forze dell'ordine italiane e di aver avuto accesso per mesi a diverse infrastrutture. Questa rivendicazione, tuttavia, non è stata verificata pubblicamente in modo indipendente. Le analisi proseguono e viene monitorato il dark web per verificare un'eventuale messa in vendita di dati trafugati ai correntisti della fintech.
Saranno le indagini a stabilire l'effettiva portata della compromissione, quali sistemi siano stati violati, quali dati siano stati sottratti e come gli aggressori siano riusciti a superare i controlli.