Quando la notizia è emersa, il caso è stato spesso descritto come un “Revolut data breach”. La definizione può essere utile per indicare l’esposizione di dati riferibili ad alcuni clienti, ma rischia di suggerire una dinamica diversa da quella oggi nota. Allo stato delle informazioni pubblicamente disponibili e sulla base di quanto dichiarato dalla società, non risultano evidenze pubbliche di una compromissione del core banking, dei database clienti o dell’infrastruttura interna di Revolut. Revolut ha dichiarato che i propri sistemi e i fondi dei clienti non sarebbero stati interessati.
La dinamica oggetto di accertamento appare diversa da un attacco diretto ai sistemi della fintech: secondo le ricostruzioni disponibili, un soggetto non autorizzato avrebbe utilizzato un canale riconducibile a un dominio istituzionale autentico per presentare richieste apparentemente legittime.
Secondo quanto riportato dalla stampa, le prime verifiche della Polizia Postale non avrebbero, allo stato, rilevato elementi a conferma di una compromissione dei sistemi dell’amministrazione interessata né dell’esfiltrazione di dati rivendicata dagli attaccanti.
Rimane da accertare se le comunicazioni siano derivate dall’effettivo utilizzo di una casella compromessa o da una diversa forma di contraffazione dell’identità del mittente. In questo scenario, il problema non è soltanto riconoscere un dominio falso, ma verificare chi stia realmente operando attraverso un’identità formalmente credibile.
La pista della prefettura di Reggio Calabria
Secondo quanto emerso da ricostruzioni giornalistiche e da comunicazioni istituzionali successive, le richieste fraudolente sarebbero state inviate attraverso il dominio @pec.interno.it e il perimetro investigativo risulterebbe riconducibile alla Prefettura di Reggio Calabria. In sede parlamentare, il 18 settembre 2026, è stato riferito che Revolut avrebbe segnalato la compromissione di un indirizzo PEC riferibile alla Prefettura di Reggio Calabria e che ACN avrebbe accertato la compromissione attraverso l’analisi di un campione di email fornito dalla società. Il local-part della casella coinvolta resta tuttavia un elemento da trattare con cautela, perché non risulta confermato in modo univoco da fonti istituzionali pubbliche.
Alcuni screenshot circolati online mostrano conversazioni PEC tra Revolut e un indirizzo @pec.interno.it, con parti della casella governativa oscurate o riportate in modo non sempre verificabile. Sul lato Revolut compare invece revolut.italy.pec@legalmail.it. In uno scambio del 24 marzo 2026, secondo tali materiali, Revolut avrebbe chiesto di correggere l’entità giuridica indicata nella documentazione. In successive comunicazioni pubblicate online compaiono riferimenti a un European Investigation Order. Questi elementi restano parte di ricostruzioni pubbliche e non equivalgono, da soli, a una piena validazione forense dell’intera catena operativa.
Se confermata, questa dinamica indicherebbe la capacità dell’attore di comprendere progressivamente i processi con cui una piattaforma finanziaria gestisce richieste provenienti da autorità pubbliche, adattando forma e contenuto delle comunicazioni. Alcune ricostruzioni descrivono una campagna prolungata e l’invio di numerose richieste, anche in relazione a transazioni crypto. Tali ricostruzioni devono però essere considerate come elementi informativi da verificare e non come fatti definitivamente accertati.
La pista degli infostealer
Separatamente dagli accertamenti in corso, nell’ambito dell’analisi di fonti di threat intelligence il team Cyber Threat Intelligence di Cyberoo ha individuato elementi riferibili a un endpoint della PA presenti in un log associato a un infostealer, con potenziale coinvolgimento di artefatti riconducibili a meccanismi di autenticazione relativi a servizi istituzionali.
Questo elemento è significativo, ma va interpretato con rigore. Lo scenario evidenziato non permette di stabilire con certezza se questo sia il meccanismo utilizzato dal threat actor, né consente di stabilire se tale materiale sia stato acquisito dall’attore responsabile o sia stato effettivamente utilizzato per le richieste fraudolente. L’infostealer rappresenta quindi un initial access vector tecnicamente plausibile e coerente con gli elementi di threat intelligence analizzati, non una prova conclusiva della catena di compromissione.
Lo scenario è coerente con un meccanismo ormai ricorrente nel cybercrime: un infostealer compromette un endpoint e sottrae password, cookie, cronologia del browser e altri artefatti. I dati possono successivamente essere venduti o distribuiti, consentendo ad altri attori di ricercare credenziali di particolare valore senza aver necessariamente condotto l’infezione iniziale. Quando l’endpoint appartiene a un’organizzazione considerata affidabile da banche, provider o altre infrastrutture, il rischio non riguarda soltanto la perdita di una password, ma anche la possibilità di sfruttare la fiducia associata a quell’identità.
Il caso evidenzia così un limite dei controlli basati esclusivamente sull’autenticità del dominio. Nello scenario in cui venga effettivamente utilizzata una casella istituzionale autentica, SPF, DKIM e gli altri meccanismi di autenticazione possono risultare corretti anche qualora la casella venga utilizzata da un soggetto non autorizzato.
Per le richieste ad alto impatto, soprattutto quando comportano la divulgazione di dati KYC o finanziari, la verifica del dominio dovrebbe quindi essere accompagnata da controlli indipendenti sull’identità del richiedente e sulla legittimità della richiesta: callback verso contatti ufficiali già noti, verifica della giurisdizione, validazione del provvedimento e sistemi di anomaly detection sul volume e sulla tipologia delle richieste.
Il punto centrale, dunque, non è affermare un collegamento diretto tra l’esposizione individuata e la campagna Revolut, che allo stato delle informazioni disponibili non è dimostrato. È riconoscere come la compromissione di un singolo endpoint possa esporre materiale di autenticazione associato a un’organizzazione affidabile e, potenzialmente, trasformare quella fiducia in uno strumento di attacco.
Analisi di Vasily Kononov – Threat Intelligence Lead, CYBEROO
Fonti principali
- Reuters / Financial Times – copertura dell’incidente e numero delle vittime
- TechCrunch – conferma delle richieste governative fraudolente e tipologia dei dati interessati
- la Repubblica – associazione della mailbox compromessa alla Prefettura di Reggio Calabria e indagine della Polizia Postale
- Hudson Rock – “Revolut Hackers Used Infostealers for Elaborate Social Engineering”, analisi sugli infostealer e sulla metodologia descritta dagli attaccanti
- Camera dei Deputati – Resoconto stenografico della seduta n. 711 del 18 settembre 2026, interpellanza urgente sul caso Revolut e riferimenti ad ACN, Polizia Postale e Prefettura di Reggio Calabria.
