Il gruppo di criminali informatici che nei mesi scorsi ha ingannato Revolut, inducendo la banca digitale a consegnare i dati personali di centinaia di clienti, ha chiesto un riscatto di 3 milioni di dollari in criptovalute, pari a circa 2,6 milioni di euro, per non vendere le informazioni rubate sul dark web. Gli hacker, che si fanno chiamare “IAmNotAVillain”, hanno fissato un ultimatum di 24 ore a partire dalle 18:30 di mercoledì 16 settembre. In assenza del pagamento, hanno minacciato di offrire i dati ad altre organizzazioni criminali. La richiesta, secondo le informazioni riportate dal Financial Times, ammonta a 6.000 Monero, la criptovaluta indicata con la sigla XMR e spesso utilizzata in contesti illegali perché rende più complessa la tracciabilità delle transazioni.
La vicenda riguarda i dati di circa 680 clienti europei di Revolut. La società ha precisato che i fondi degli utenti non sarebbero stati toccati e che l’infrastruttura principale, i database e i conti dei clienti non risultano direttamente violati. Il materiale ottenuto dai criminali comprenderebbe tuttavia informazioni molto sensibili: dati dei passaporti, patenti di guida, altri documenti di identità, fotografie, indirizzi di residenza, coordinate bancarie e cronologie delle transazioni. Il gruppo sostiene inoltre di essere entrato in possesso complessivamente di 147 gigabyte di documenti e ha inviato al Financial Times un video di circa 60 secondi nel quale un utente non identificato scorre una raccolta di file che, secondo gli hacker, apparterrebbero a Revolut.
La falsa richiesta partita dalla PEC della Prefettura
La truffa sarebbe stata realizzata attraverso una lunga operazione di social engineering, basata sulla falsificazione di richieste ufficiali e sull’utilizzo di un indirizzo di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria. La casella, indicata negli screenshot diffusi online, è entilocali.prefrc@pec.interno.it, un indirizzo appartenente al dominio del Ministero dell’Interno. I criminali si sarebbero presentati come investigatori impegnati in un’indagine, sostenendo di dover acquisire informazioni su alcuni clienti della banca nell’ambito di una presunta inchiesta della Procura di Milano e di una procedura europea di cooperazione giudiziaria.
Per rendere credibili le richieste, il gruppo avrebbe fatto riferimento all’ordine europeo di indagine, uno strumento previsto dalla normativa dell’Unione europea per consentire alle autorità giudiziarie dei diversi Stati membri di collaborare e ottenere prove oltre i confini nazionali. I criminali non si sarebbero rivolti alla sede italiana di Revolut, ma a quella lituana, dove si trova la sede legale della società. Lo scambio di comunicazioni sarebbe proseguito per diversi mesi, senza che le anomalie contenute nelle richieste facessero scattare controlli sufficienti.
Da alcune comunicazioni diffuse attraverso screenshot pubblicati sull’account di X “Korra”, che sarebbe entrato in contatto con il gruppo, emerge che Revolut avrebbe persino fornito indicazioni ai responsabili della truffa su come correggere l’intestazione delle richieste per renderle formalmente più corrette. In un messaggio del 24 marzo 2026, la banca avrebbe chiesto di modificare l’intestazione di una mail; in uno scambio di inizio maggio avrebbe invece chiesto scusa per il ritardo nell’invio dei dati, comunicando di avere avviato un audit interno per verificare lo stato della pratica.
Il 24 luglio, secondo gli screenshot, Revolut avrebbe confermato di aver inviato tutti i documenti richiesti e avrebbe comunicato l’invio di una seconda mail contenente la password necessaria per decifrare i file. Nello stesso messaggio la società avrebbe precisato che 169 dei profili richiesti erano gestiti dalla sede del Regno Unito e che, per quei casi, sarebbe stata necessaria una procedura legale diversa. Tra gli elementi che avrebbero dovuto destare sospetti figurano l’utilizzo di un indirizzo della Prefettura di Reggio Calabria per una richiesta legata a un’indagine della Procura di Milano, numeri di protocollo errati riconducibili alla Procura di Roma e altre incongruenze formali.
Un ricatto reso pubblico sul dark web
La pubblicazione della richiesta di riscatto rappresenta un elemento insolito rispetto alle modalità abituali delle estorsioni informatiche. In genere, i criminali contattano prima privatamente l’azienda colpita e rendono pubblico il ricatto soltanto se il destinatario rifiuta di pagare o interrompe le trattative. In questo caso, invece, “IAmNotAVillain” avrebbe pubblicato direttamente sul proprio sito nel dark web il messaggio rivolto a Revolut, chiedendo “6.000 XMR / 3.000.000 $” e minacciando di vendere tutti i dati se il denaro non fosse stato versato entro la scadenza.
Contattato dal Financial Times attraverso Telegram, il gruppo ha sostenuto che si trattasse della prima volta in cui utilizzava il proprio sito per una richiesta di riscatto. Gli hacker avrebbero inoltre affermato di non avere ancora avviato una trattativa diretta con Revolut. Una portavoce della società ha riferito che la banca non avrebbe ricevuto una richiesta di riscatto diretta e che non ci sarebbe stato un negoziato con i criminali. La minaccia, quindi, sarebbe stata diffusa pubblicamente senza che fosse stata ancora aperta una vera procedura di contrattazione.
Il riferimento alla vendita dei dati ad altri gruppi criminali aumenta il rischio per le persone coinvolte. La disponibilità di documenti d’identità, immagini, indirizzi e informazioni finanziarie potrebbe infatti favorire ulteriori frodi, furti d’identità, campagne di phishing mirato e tentativi di accesso ad altri servizi digitali. Al momento, tuttavia, non è stata confermata la vendita dei dati né è stato dimostrato in modo indipendente che tutti i 147 gigabyte rivendicati dal gruppo siano autentici e provengano effettivamente da Revolut.
Le indagini della Procura e della Polizia postale
La Procura della Repubblica di Reggio Calabria ha aperto un’inchiesta sul caso. L’ipotesi di reato iniziale riguarda l’accesso abusivo a un sistema informatico di pubblico interesse, previsto dall’articolo 615-ter, comma 3, del Codice penale. L’indagine è partita dopo una prima informativa della Polizia postale, che ha definito l’operazione particolarmente sofisticata e durata diversi mesi. Gli investigatori devono ancora stabilire se sia stato compromesso direttamente un computer della Prefettura di Reggio Calabria o del Viminale e se la casella di posta sia stata realmente violata oppure clonata.
Secondo gli esperti di International Cyber Digest, i criminali potrebbero avere compromesso anche almeno un altro indirizzo di posta certificata riconducibile alle forze dell’ordine italiane e gestito dal Ministero dell’Interno. In una comunicazione con il Financial Times, il gruppo ha affermato di possedere 147 gigabyte di materiale della polizia italiana, tra cui chat private degli agenti, calendari e altri contenuti personali. Queste informazioni, però, rappresentano al momento una dichiarazione degli hacker e dovranno essere verificate dagli investigatori.
Sul caso è intervenuta anche la Direzione nazionale antimafia e antiterrorismo, poiché la vicenda coinvolge un possibile accesso a sistemi e indirizzi appartenenti a un ente governativo. La Polizia postale sta verificando la dinamica dell’attacco, l’eventuale compromissione di altre amministrazioni pubbliche e l’origine delle credenziali utilizzate per inviare le richieste a Revolut. Resta inoltre da chiarire se i criminali abbiano sfruttato una vulnerabilità tecnica, il furto di credenziali o una precedente intrusione nella casella PEC.
Il Garante privacy avvia le verifiche
Anche il Garante per la protezione dei dati personali ha avviato una verifica sulle possibili falle nei sistemi di sicurezza degli istituti bancari. L’Autorità ha sollecitato i responsabili della protezione dei dati a effettuare una verifica tempestiva sulle procedure utilizzate per rispondere alle richieste delle autorità e a comunicare immediatamente eventuali violazioni.
Il Garante italiano ha inoltre avviato uno scambio di informazioni con l’autorità omologa della Lituania, dove si trova la sede legale di Revolut. La collaborazione mira a ricostruire il percorso delle richieste fraudolente, comprendere quali dati siano stati effettivamente trasferiti e rafforzare il coordinamento tra le autorità coinvolte.
La vicenda mette in evidenza i rischi legati alla fiducia automatica nelle comunicazioni apparentemente ufficiali. Una richiesta proveniente da un indirizzo PEC istituzionale può infatti apparire autentica, ma non costituisce da sola una garanzia sufficiente: numeri di protocollo, autorità richiedente, competenza territoriale, riferimenti normativi e modalità di trasmissione devono essere verificati attraverso canali indipendenti. Saranno ora le indagini a stabilire come sia stata compromessa la casella della Prefettura, quali dati siano stati sottratti e se altre amministrazioni o società siano state coinvolte nella stessa operazione.
