Caso Revolut: come una PEC ha potuto servire a una Fuga di dati

Revolut ha trasmesso dati di clienti a truffatori che si presentavano come un’autorità pubblica. Circa 680 persone sarebbero coinvolte, secondo una stima del Financial Times ripresa da ANSA il 15 settembre.

Una PEC italiana usata per ottenere i dati

Le richieste sarebbero partite da una messaggistica certificata italiana, una PEC legata alla prefettura di Reggio Calabria, che sarebbe stata compromessa. Tra i dati menzionati figurano documenti d’identità, informazioni bancarie e cronologie delle transazioni. La polizia postale italiana indaga, riferisce ANSA.

Revolut afferma che i suoi sistemi e i fondi dei clienti non sono stati colpiti. La banca indica di aver bloccato l’indirizzo, avvisato le autorità competenti e contattato le persone interessate dopo la scoperta della frode.

Tra i clienti citati, Mark Karpelès ha rilanciato l’allerta su X il 12 settembre. Ecco il suo post originale:

Revolut customers were targeted in a fraudulent emergency data request sent via an email at a "government agency." https://t.co/sS2sbwAt8r

— Mark Karpelès (@MagicalTux) September 12, 2026

Dati KYC: la riservatezza resta al centro del problema

L’assenza di furto di denaro non rende la divulgazione banale. Il KYC (Know Your Customer, o « conoscenza del cliente ») designa le verifiche effettuate da una banca per identificare i propri clienti. Possono basarsi in particolare su un documento d’identità e una prova di domicilio. Questi documenti non possono essere comunicati sulla sola base di un indirizzo ufficiale. Il GDPR impone in particolare una base giuridica valida, la minimizzazione dei dati e la loro riservatezza.

ANSA rileva che un atto dell’autorità giudiziaria, normalmente atteso per le richieste descritte, sarebbe mancato. Questo punto merita di essere accertato dall’indagine: non si può generalizzare l’obbligo di un’ordinanza a ogni trasmissione, ma una richiesta fraudolenta non diventa legittima perché utilizza un dominio governativo.

La questione riguarda quindi anche i controlli di Revolut: chi ha autorizzato la consegna, su quale fondamento e dopo quali verifiche? Gli elementi pubblici non consentono, da soli, di stabilire la sua responsabilità giuridica.

🔎 Le precauzioni utili, senza drammatizzare

Per i clienti interessati, è meglio consultare le notifiche nell’app e diffidare dei messaggi che riutilizzano le loro informazioni personali. Per un’azienda che riceve una richiesta di dati, il riflesso chiave resta quello di verificare l’autorità e il fondamento giuridico attraverso un canale indipendente, prima di qualsiasi trasmissione.