A metà settembre 2026, circa 680 clienti di Revolut si sono trovati nel mirino di un attacco sofisticato. Non è stato un colpo diretto ai server della neobank, ma qualcosa di più subdolo: una PEC falsa, camuffata da comunicazione ufficiale del Ministero dell’Interno italiano. Quella truffa ha aperto le porte a un furto di dati sensibili, finiti nelle mani sbagliate. Adesso, mentre le autorità italiane e britanniche cercano di ricostruire l’accaduto, gli utenti coinvolti devono fare i conti con il rischio concreto di nuove frodi.
Come hanno violato i dati usando una PEC falsa del Ministero
La porta d’ingresso è stata una PEC intestata a un ente del Ministero dell’Interno. I truffatori si sono spacciati per funzionari delle forze dell’ordine, inviando richieste ufficiali e apparentemente legittime a Revolut. L’istituto ha risposto fornendo dati sensibili come documenti d’identità, indirizzi, numeri di conto e informazioni sulle transazioni, comprese quelle con criptovalute, senza fare controlli più approfonditi.
Gli hacker, che si fanno chiamare “iamnotavillain”, sostengono di aver agito per mesi, partendo da un’analisi delle blockchain per individuare clienti con grosse disponibilità in criptovalute e poi risalire ai loro conti Revolut. Le vittime si trovano soprattutto in Francia e Svizzera, ma ci sono utenti coinvolti da altri 31 Paesi europei. La chiave del successo è stata la fiducia nel canale PEC, considerato affidabile e dunque capace di superare i primi controlli della banca.
Revolut ha subito bloccato ogni comunicazione con l’indirizzo PEC compromesso e ha allertato le autorità, tra cui la Information Commissioner’s Office del Regno Unito, che segue da vicino la vicenda per valutarne l’impatto sulla privacy. Le indagini sono in corso per capire fino in fondo cosa sia successo e quanto siano stati estesi i danni.
Dove sono saltati i controlli e quali rischi emergono
Non è stato un attacco informatico classico, come un phishing o un hacking. Qui si è giocato d’astuzia usando una via ufficiale, con una PEC che ha valore legale paragonabile a una raccomandata. Purtroppo, affidarsi solo al dominio del mittente non è bastato a fermare la frode.
Quando si tratta di dati così sensibili, servono controlli a più livelli: verifiche incrociate tramite canali indipendenti, conferme sull’identità precisa del richiedente, accertamenti sulle autorizzazioni e controlli su eventuali richieste ripetute o sospette. Invece, l’automazione spinta su cui puntano molte neobank, pensata per gestire milioni di clienti a costi ridotti, può diventare un tallone d’Achille se manca il filtro umano.
Il risultato è che 680 clienti hanno visto esposti documenti personali, copie delle loro identità, estratti conto e dati sulle transazioni. Questo li espone a rischi concreti come furti d’identità, sostituzione della SIM e truffe mirate via phishing.
La lezione è chiara: la sicurezza delle banche digitali non si limita a firewall e antivirus, ma passa anche da procedure rigorose e controlli umani attenti.
Da startup a gigante globale: l’ascesa di Revolut
Nata nel 2015 a Londra grazie a Nikolay Storonsky e Vlad Yatsenko, Revolut ha saputo trasformarsi da semplice app per cambiare valuta a una vera e propria banca digitale globale. Oggi offre conti correnti, carte, investimenti, trading e assicurazioni. A fine 2025 vantava oltre 68 milioni di clienti retail e quasi 800 mila business, con numeri in crescita. Nel 2026 ha superato gli 80 milioni di utenti e ampliato le licenze bancarie in Europa, ottenendo anche un riconoscimento importante in Francia.
La sua strategia combina l’online con spazi fisici, come il punto aperto a Barcellona, per offrire assistenza diretta. Un modello “phygital” pensato per unire efficienza e fiducia.
L’attacco arriva in un momento delicato, mentre Revolut punta a diventare un attore sempre più importante nella gestione dei risparmi e degli investimenti, rendendo ancora più urgente rafforzare la sicurezza.
Altri episodi di sicurezza in Revolut e nelle neobank europee
Questo non è il primo scivolone per Revolut. Nel 2022 un attacco di social engineering aveva esposto dati parziali di 50 mila clienti, senza però compromettere fondi o password. Anche altre neobank hanno avuto problemi: Monzo nel 2019 ha scoperto che i PIN di quasi mezzo milione di utenti erano finiti in file di log, mentre N26 ha segnalato accessi non autorizzati e aperture di conti con identità rubate.
Il nodo è spesso la gestione integrata della sicurezza e dei controlli antiriciclaggio in un mondo digitale senza filiali fisiche. Questa struttura espone a rischi di frodi e complica le verifiche d’identità, richiedendo standard sempre più severi.
Va detto che anche banche tradizionali come Capital One hanno subito attacchi informatici di grande portata, dimostrando che nessun modello è immune a vulnerabilità complesse.
Neobank e banche tradizionali: un confronto spinoso
Le neobank puntano su infrastrutture moderne e cloud, aggiornando spesso i sistemi. Questo garantisce velocità, facilità d’uso e strumenti di sicurezza avanzati come notifiche in tempo reale, blocco carte istantaneo, autenticazioni biometriche e carte virtuali usa e getta.
Ma la crescita rapida può mettere sotto pressione i controlli interni e l’assistenza. Concentrare tanti dati sensibili in una sola piattaforma espone a rischi maggiori se arriva una violazione. L’assenza di sportelli fisici rende più complicata la gestione di emergenze e controlli sull’identità.
Le banche tradizionali, meno rapide nell’innovazione tecnologica, contano invece su reti più ampie di personale e canali fisici, ma restano vulnerabili a intrusioni, frodi interne e attacchi informatici.
La normativa europea, con il Digital Operational Resilience Act in vigore dal 2025, cerca di allineare gli standard di sicurezza tra vecchi e nuovi operatori, imponendo test di resilienza e controlli sui fornitori.
Come scegliere una neobank sicura prima di affidarle i risparmi
Chi si avvicina a una banca digitale deve prima di tutto verificare la sua natura giuridica: banca autorizzata, istituto di pagamento o emittente di moneta elettronica. Da questo dipendono le garanzie sui depositi e i controlli a cui è sottoposta.
È importante capire se la banca ha un fondo di garanzia, quanto sono solidi i sistemi di autenticazione, la capacità di bloccare carte e operazioni sospette in tempo reale, e se offre un’assistenza con operatori in carne e ossa. Trasparenza e chiarezza su eventuali incidenti sono fondamentali per fidarsi.
Sul piano pratico, conviene attivare l’autenticazione biometrica, usare password forti e uniche, proteggere bene email e numeri legati al conto, e stare attenti a richieste di trasferimenti via telefono o email non confermate.
Il caso Revolut dimostra che la sicurezza non è solo questione di tecnologia, ma anche di persone, procedure e governance che sappiano affrontare le sfide del digitale.
—
Questa vicenda ricorda un fatto spesso sottovalutato: proteggere i clienti di una banca digitale non significa solo avere sistemi informatici robusti, ma anche saper gestire con rigore le richieste esterne di dati, i controlli interni e i rapporti con autorità e fornitori. Solo così si può mantenere la fiducia in un mondo sempre più connesso e complesso.