Il gruppo hacker IAmNotAVillain, autoproclamatosi autore della sofisticata truffa informatica ai danni di Revolut, sostiene di aver mantenuto per circa sei mesi l’accesso a sistemi e account riconducibili alle forze dell’ordine italiane, accumulando oltre 87 mila file per un totale di 147 GB di dati, tra documenti interni, calendari, informazioni personali e persino conversazioni private, incluse chat di un agente con la moglie. Gli attaccanti affermano di aver sfruttato proprio queste infrastrutture compromesse per inviare a Revolut una richiesta apparentemente ufficiale, inoltrata da un indirizzo di posta elettronica certificata (PEC), spacciandosi per autorità inquirenti e ottenendo così la trasmissione volontaria di dati sensibili di centinaia di clienti della fintech britannica, senza violare direttamente i sistemi dell’azienda. Tuttavia, le istituzioni italiane non hanno finora confermato né smentito la compromissione dei propri sistemi, la persistenza semestrale negli ambienti interni o l’esistenza stessa dell’archivio da 147 GB, mentre Revolut ha ammesso solo di aver ricevuto richieste da un dominio governativo autentico, senza validare le dichiarazioni del gruppo hacker sulla presunta intrusione prolungata. Di conseguenza, le affermazioni di IAmNotAVillain vanno trattate con la massima cautela, come rivendicazioni accompagnate da materiale dimostrativo (screenshot, directory) ma non ancora accertate da fonti istituzionali indipendenti.

La dinamica confermata: la “sofisticata truffa di impersonificazione” e i dati consegnati da Revolut

Revolut ha confermato ufficialmente di aver subito una “sofisticata truffa di impersonificazione esterna”, in cui gli aggressori hanno inviato richieste apparentemente legittime da un indirizzo email su un dominio governativo autentico, una PEC riconducibile alle forze dell’ordine italiane, considerata tale dalla fintech al punto da indurla a trasmettere volontariamente dati sensibili di un numero “molto limitato” di clienti. L’azienda ha precisato che i propri sistemi informatici non sono stati tecnicamente violati e che non sono stati sottratti soldi dai conti dei clienti, ma ha comunque avviato comunicazioni d’emergenza agli utenti coinvolti a partire dal 12 settembre 2026, avvisando enti governativi, forze dell’ordine, autorità per la protezione dei dati e organismi di regolamentazione finanziaria. Secondo le ricostruzioni giornalistiche e le comunicazioni ai clienti, i dati consegnati includono nome, cognome, data di nascita, indirizzo, email, telefono, copie di documenti d’identità (passaporti, patenti), selfie usati per la verifica biometrica KYC (know your customer), estratti conto, IBAN, stato del conto e cronologie complete delle transazioni, comprese quelle in bitcoin e altre criptovalute.

La richiesta sarebbe stata motivata come indispensabile per una fantomatica indagine internazionale, facendo leva sull’obbligo a cui sono sottoposti gli istituti finanziari di fornire informazioni a forze dell’ordine ed enti governativi nell’ambito dello strumento di collaborazione transfrontaliera noto come Ordine Europeo di Indagine, previsto da una direttiva europea del 2014. Nonostante la mole di informazioni richieste, Revolut non avrebbe approfondito le motivazioni o contattato direttamente le forze dell’ordine per avere conferme, limitandosi a rispondere fornendo i dati chiesti, ritenendo di rispondere a un atto formale inviato da un’autorità giudiziaria e investigativa legittimata. Il caso è già approdato in Parlamento tramite un’interrogazione urgente promossa dalla deputata di Azione Giulia Pastorella, che chiede di far piena luce sulle reali vulnerabilità dell’infrastruttura del Ministero dell’Interno, chiarire se le autorità fossero a conoscenza dell’intrusione, quali contromisure immediate siano state adottate e come si intenda evitare che i canali di Stato possano venire riutilizzati per scopi illeciti.

Le rivendicazioni di IAmNotAVillain: 147 GB, sei mesi di accesso e accuse a Revolut

Il gruppo hacker IAmNotAVillain, autoproclamatosi autore della frode, ha lanciato un sito web per spiegare le proprie motivazioni, legittimare la richiesta di riscatto e rilasciare i contenuti con il contagocce nel caso Revolut non volesse pagare, inquadrando il proprio operato come una sorta di denuncia delle pratiche poco sicure della fintech britannica. Gli attaccanti affermano di aver ricevuto una segnalazione riguardante un database di utenti, ignorata da Revolut, e di aver agito per “smascherare” l’azienda, accusandola di non aver garantito la sicurezza delle informazioni degli utenti e di aver trasferito dati provenienti da una giurisdizione diversa, violando presunte norme sulla protezione dei dati. Nel dettaglio, il gruppo sostiene di possedere “tutto”: documenti KYC, indirizzi, numeri di telefono, email, conti bancari e transazioni sia in valuta sia in criptovalute, e di aver iniziato l’attacco sei mesi fa compromettendo un account di posta certificata con il dominio @pec.interno.it, appartenente al ministero dell’Interno.

Per dimostrare la propria tesi, IAmNotAVillain ha allegato screenshot con le intestazioni dei messaggi e ha dichiarato di aver sottratto da quell’indirizzo 147 gigabyte di dati con documenti interni, appuntamenti e informazioni personali, inclusi calendari, email, file d’ufficio e comunicazioni private. Gli hacker affermano inoltre di aver sfruttato quel canale ufficiale per inviare una richiesta all’apparenza ufficiale alla sede lituana di Revolut, chiedendo informazioni sui clienti della banca per una presunta indagine della procura di Milano, e di aver colpito “molti dipartimenti delle forze dell’ordine italiane”, senza però specificare quali strutture siano state effettivamente violate, limitandosi a criticare genericamente le difese informatiche della polizia italiana. Il gruppo ha anche rivendicato di aver scoperto presunte violazioni nella gestione dei dati da parte di Revolut, in particolare legate alle procedure KYC e al trasferimento di informazioni fuori dalla giurisdizione, accusando l’azienda di non aver protetto adeguatamente i dati degli utenti.

La strategia dell’attacco: malware, accesso prolungato e falso Ordine Europeo di Indagine

Secondo le prime ricostruzioni fornite dagli stessi hacker e riportate da fonti specializzate, il raggiro sarebbe stato preparato con mesi di anticipo attraverso una serie di passaggi tecnici e operativi volti a garantire un accesso stabile e non rilevato alla casella PEC delle forze dell’ordine. Inizialmente, un malware in grado di rubare i dati si sarebbe infiltrato nel computer di un dipendente governativo, consentendo ai pirati informatici di sottrarre le credenziali d’accesso alla casella di posta elettronica certificata. Successivamente, gli hacker avrebbero impostato un indirizzo di recupero privato, per garantirsi un accesso prolungato nel tempo senza destare sospetti, mantenendo il controllo della casella per circa sei mesi e accumulando nel frattempo un vasto archivio di documenti e comunicazioni interne.

Sfruttando il canale ufficiale dell’ente di pubblica sicurezza, i malintenzionati avrebbero inviato a Revolut un falso Ordine Europeo di Indagine, richiedendo formalmente la trasmissione dei dati riservati dei clienti, motivando la richiesta come indispensabile per una fantomatica indagine internazionale. La richiesta proveniva da un dominio valido e ufficiale, e sembrava adeguatamente motivata, al punto che Revolut, ritenendo di rispondere a un atto formale inviato da un’autorità giudiziaria e investigativa legittimata, avrebbe rilasciato i pacchetti di dati senza svolgere ulteriori verifiche incrociate o contattare direttamente le forze dell’ordine per avere conferme. Gli esperti di cybersecurity stanno ancora ricostruendo la strategia utilizzata dai criminali, ma concordano sul fatto che l’attacco abbia sfruttato una mail compromessa della Polizia, dei Carabinieri o della Guardia di Finanza per convincere l’azienda a inoltrare le informazioni richieste, trasformando un canale istituzionale di fiducia in un cavallo di Troia per l’esfiltrazione di dati sensibili.

I dati esfiltrati: 680 clienti, profili facoltosi e la minaccia di pubblicazione quotidiana

Mentre Revolut parla di un numero “molto limitato” di clienti coinvolti, fonti giornalistiche e ricostruzioni basate su dichiarazioni degli hacker indicano che i dati esfiltrati riguarderebbero circa 680 clienti dell’istituto, per la maggior parte svizzeri e francesi, tra cui figurano profili di alto livello come il calciatore franco georgiano del Villarreal Georges Mikautadze, il tennista kazako Alexandr Shevchenko, il Ceo di Gamdom Felix Römer e l’ex amministratore delegato di Mt. Gox Mark Karpelès. Tra le informazioni esfiltrate figurerebbero dati anagrafici, indirizzi di residenza, documenti d’identità, estratti conto, dettagli sulle transazioni in criptovalute e persino i selfie usati per il riconoscimento biometrico, un pacchetto di dati così sensibile da consentire, secondo gli esperti, di portare a termine una lunga serie di operazioni online senza che la vittima se ne accorga, aumentando esponenzialmente il rischio di furti d’identità e frodi finanziarie.

Ottenuti i file, il gruppo IAmNotAVillain ha aperto una pagina web dedicata dove ha iniziato a pubblicare estratti del materiale sottratto per dimostrare la riuscita dell’operazione, minacciando di divulgare quotidianamente un nuovo pacchetto di dati riservati qualora la società non provvederà a pagare il riscatto richiesto. L’obiettivo dei cybercriminali appare quindi di natura estorsiva, rivolto sia a Revolut sia ad alcuni suoi clienti facoltosi, come Mark Karpelès e Aleksandr Shevchenko, che potrebbero essere contattati direttamente per ottenere pagamenti in cambio della non diffusione dei propri dati sensibili. Quando la vittima di un’estorsione non paga, i criminali mettono in vendita i dati rubati e ad acquistarli sono spesso altri truffatori, che possono utilizzare quelle informazioni per portare a termine ulteriori frodi, rendendo la posta in gioco non solo economica ma anche reputazionale e di sicurezza personale per i clienti coinvolti.

Il silenzio delle istituzioni e le indagini in corso

Finora, nessuna autorità italiana ha confermato né smentito la compromissione dei propri sistemi, la persistenza di sei mesi negli ambienti interni o l’esistenza dell’archivio da 147 GB. Fonti del ministero dell’Interno sentite da alcune testate hanno detto che la polizia postale sta facendo accertamenti, ma non sono state diffuse comunicazioni ufficiali sulla vicenda, né sul possibile utilizzo improprio di una casella PEC istituzionale per inviare richieste fraudolente a Revolut. Anche Revolut, pur ammettendo di aver ricevuto richieste da un dominio governativo autentico, non ha validato le dichiarazioni del gruppo hacker sulla presunta intrusione prolungata nelle infrastrutture delle forze dell’ordine, limitandosi a confermare la “sofisticata truffa di impersonificazione esterna” e ad avviare le procedure di notifica alle autorità competenti.

Il silenzio delle istituzioni sta alimentando interrogativi sulla tenuta dei sistemi informatici del Paese, sulla possibile consapevolezza delle autorità riguardo all’intrusione e sulle contromisure adottate per arginare il malware e prevenire il riutilizzo dei canali di Stato per scopi illeciti. L’interrogazione parlamentare promossa da Giulia Pastorella chiede chiarimenti proprio su questi punti, sollecitando il governo a fornire informazioni trasparenti e tempestive per evitare che la fiducia dei cittadini e delle imprese nei canali ufficiali di comunicazione venga ulteriormente erosa. Nel frattempo, la polizia postale continua gli accertamenti, ma senza comunicazioni ufficiali resta difficile valutare la reale estensione della compromissione e l’efficacia delle misure di contenimento adottate.

Le implicazioni europee e il possibile intervento di Enisa ed EDPB

La vicenda rischia di varcare i confini nazionali per approdare sui tavoli di Bruxelles, soprattutto qualora venisse confermato l’uso improprio di un Ordine Europeo di Indagine per ottenere dati sensibili da Revolut. In tal caso, potrebbero attivarsi le autorità di vigilanza dell’Unione Europea, a partire dall’Enisa (Agenzia dell’UE per la cybersicurezza) e dall’EDPB (Comitato europeo per la protezione dei dati), aprendo un delicato fascicolo sull’adeguatezza delle procedure di verifica transfrontaliere e sugli standard di sicurezza informatica istituzionali. L’Ordine Europeo di Indagine, previsto da una direttiva del 2014, è uno strumento di collaborazione tra Stati membri che consente alle autorità giudiziarie di richiedere e ottenere prove da altri paesi dell’UE, ma presuppone che le richieste siano autentiche, verificate e inviate attraverso canali sicuri e controllati.

Se gli hacker fossero riusciti a sfruttare proprio questo meccanismo, utilizzando una casella PEC compromessa per inviare una richiesta falsa ma apparentemente legittima, si porrebbero seri interrogativi sulla robustezza dei controlli di autenticazione e sulla capacità delle autorità nazionali di proteggere i propri sistemi da intrusioni prolungate. Un eventuale intervento dell’Enisa e dell’EDPB potrebbe portare a raccomandazioni, linee guida o persino procedure di infrazione nei confronti dell’Italia, qualora venissero riscontrate carenze strutturali nella protezione delle infrastrutture critiche e dei canali di comunicazione istituzionale. Inoltre, la vicenda potrebbe spingere l’UE a rivedere le procedure di verifica delle richieste di dati transfrontaliere, introducendo meccanismi di autenticazione più stringenti e controlli incrociati obbligatori prima della trasmissione di informazioni sensibili da parte delle istituzioni finanziarie.