Il 12 settembre Revolut ha confermato di aver consegnato a dei criminali i documenti d’identità, i selfie di verifica, gli estratti conto e la cronologia completa delle transazioni — Bitcoin incluso — di centinaia di suoi clienti. Nessuno ha violato i suoi server. È bastata un’email che sembrava arrivare dallo Stato italiano. È la dimostrazione più pulita che potessimo avere del fatto che il problema del KYC non è la sicurezza informatica: è il KYC.

Aggiornamento del 23 settembre. Una settimana dopo, il quadro è più chiaro e peggiore. Le richieste fraudolente sono andate avanti per circa cinque mesi senza che nessuno se ne accorgesse. La casella non è stata violata con un attacco mirato: le sue credenziali giravano, con ogni probabilità, nei log degli infostealer in vendita. Il riscatto vero è di 3 milioni di dollari in Monero, non i 10.000 bitcoin circolati all’inizio. E ai clienti colpiti arrivano SMS di phishing che imitano la verifica del volto di Revolut. Abbiamo integrato tutto nel testo.

Una PEC del Viminale e un’indagine che non esisteva

La ricostruzione arriva in gran parte dagli stessi attaccanti, un gruppo che si fa chiamare IAmNotAVillain, contattato da International Cyber Digest. Avrebbero preso il controllo di un account di posta certificata sul dominio @pec.interno.it. Rispondendo a un’interrogazione parlamentare, la sottosegretaria all’Interno Wanda Ferro ha confermato, citando l’Agenzia per la Cybersicurezza Nazionale, che la casella è riferibile alla Prefettura di Reggio Calabria. Dalla stessa casella il gruppo sostiene di aver estratto 147 gigabyte di documenti interni, agende e materiale personale, e dice di aver compromesso anche altri uffici delle forze dell’ordine italiane.

Come ci sono entrati? Secondo Hudson Rock, società che monitora i malware che rubano credenziali, l’accesso è partito da un computer di un dipendente pubblico infettato da un infostealer. Hudson Rock dice di conoscere oltre 300 credenziali compromesse legate al dominio pec.interno.it. La sua conclusione è che l’attaccante probabilmente non ha infettato nessuno: ha comprato log già in circolazione. Matt Donahue, ex FBI e oggi a capo di Kodex, azienda che gestisce richieste di dati delle forze dell’ordine, spiega che credenziali di agenti e funzionari si trovano nei forum criminali anche a 100 dollari. Molti uffici gestiscono ancora caselle proprie, spesso senza autenticazione a due fattori.

Poi hanno fatto la cosa più semplice e più devastante: hanno scritto a Revolut. La richiesta è arrivata a Revolut Bank UAB, la controllata lituana del gruppo, presentata come atto dovuto nell’ambito di un Ordine Europeo di Indagine — lo strumento di cooperazione giudiziaria previsto dalla direttiva 2014/41/UE — per una presunta inchiesta della procura di Milano. Dominio autentico, autenticazione del dominio valida, motivazione plausibile. Revolut ha risposto consegnando il pacchetto completo: nome, data di nascita, professione, indirizzo di residenza, telefono, copie di passaporto e patente, i selfie di verifica facciale raccolti in fase di onboarding, estratti conto con IBAN, registri di prelievo e la cronologia integrale delle transazioni, comprese quelle in Bitcoin.

E non una volta sola. Secondo quanto il gruppo ha raccontato agli investigatori di Duel, Revolut ha continuato a rispondere a quelle richieste per circa cinque mesi, senza mai metterne in dubbio la legittimità. Eppure un campanello d’allarme c’era, ed era vistoso. L’inchiesta citata era della procura di Milano, ma la PEC partiva da una prefettura calabrese.

I clienti coinvolti sono 680: secondo la risposta del governo, solo 8 sono italiani. Gli altri sono in maggioranza svizzeri e francesi, ma gli attaccanti citano residenti in una ventina di paesi europei. Erano selezionati con cura: l’investigatore ZachXBT ha notato subito che l’operazione era mirata a utenti ad alto patrimonio, e SecurityWeek parla di grandi detentori di criptovalute. Tra i nomi emersi ci sono Mark Karpelès, ex amministratore delegato di Mt. Gox, il calciatore Georges Mikautadze e il tennista Alexandr Shevchenko.

Dal 13 settembre i dossier vengono pubblicati su Telegram uno al giorno. Il 16 settembre IAmNotAVillain ha pubblicato un ultimatum con conto alla rovescia: 6.000 Monero, circa 3 milioni di dollari, entro 24 ore, altrimenti i dati sarebbero stati venduti ad altri gruppi criminali. La scadenza è passata il 17 senza risposta pubblica. Revolut sostiene di non essere mai stata contattata direttamente. La cifra di 10.000 bitcoin circolata nei primi giorni veniva invece da un gruppo concorrente. Secondo IAmNotAVillain si tratterebbe di un ex socio che possiede solo un campione dei dati. Quando due bande si contendono la paternità dello stesso archivio, l’archivio sta già circolando.

Sul fronte delle indagini, la Procura di Reggio Calabria ha aperto un fascicolo per accesso abusivo a un sistema informatico di interesse pubblico (art. 615-ter, comma 3, c.p.). Secondo Sky TG24 si è attivata anche la Direzione Nazionale Antimafia e Antiterrorismo, e gli inquirenti stanno ancora verificando se la casella sia stata violata o clonata. Il Garante privacy ha chiesto ai responsabili della protezione dati delle banche italiane di verificare se abbiano ricevuto richieste simili. Ha anche aperto un canale con l’autorità lituana, competente perché la sede europea di Revolut è in Lituania. L’ICO britannico ha aperto un’istruttoria.

La coda della vicenda è grottesca. Il 16 settembre International Cyber Digest ha documentato che un casinò online, Duel, ha messo in vendita i dati rubati e non oscurati nel proprio negozio di merchandising, confezionati come un “KYC kit” da 29,99 dollari. L’identità di 680 persone, degradata a gadget.

Il perimetro non è più l’azienda: è lo Stato

Qui sta il punto tecnico che quasi tutti stanno raccontando male. Revolut non è stata “bucata”. Ha ricevuto una richiesta che ha superato ogni singolo controllo antifrode tecnico esistente: SPF, DKIM e DMARC erano validi perché la mail partiva davvero da quel dominio. Non era spoofing, era una casella legittima in mano sbagliata. Nessun filtro, nessun gateway, nessun modello di machine learning avrebbe segnalato nulla.

L’unico controllo che avrebbe funzionato è quello che si chiama verifica out-of-band: richiamare la procura su un numero reperito in modo indipendente, prima di consegnare i dati di centinaia di persone. Revolut non l’ha fatto, e sarà esattamente su questo che l’ICO misurerà la conformità al GDPR. È una falla di processo, non di sistemi.

E non è una falla nuova. Le richieste di dati fraudolente da parte di finte forze dell’ordine sono documentate almeno dal 2022, quando Brian Krebs raccontò come avessero colpito Meta, Microsoft, Coinbase e Binance. Donahue lo riassume così: i sistemi di difesa delle aziende sono costruiti per verificare un server, non un mittente. Nessuna intestazione email dice se chi scrive è un investigatore reale, autorizzato oggi, a chiedere quei dati. Secondo lui il volume di queste richieste cresce del 40% l’anno, e un’azienda che risponde a una richiesta falsa non ha modo di accorgersene dopo. Quante ne siano state evase senza che nessuno lo scoprisse, semplicemente, non si può sapere.

Ma anche una Revolut perfetta non risolverebbe il problema. Perché il vero perimetro di sicurezza del tuo passaporto non è più il team di sicurezza della tua banca: è la sicurezza di ogni singola casella istituzionale al mondo legittimata a chiederlo. Migliaia di caselle PEC, in decine di paesi, gestite da enti che non hanno mai avuto un budget di cybersecurity e che non risponderanno mai a te. Una superficie d’attacco che nessuno può auditare e di cui nessuno è proprietario. Gli stessi attaccanti, nella loro rivendicazione, accusano Revolut di aver ceduto dati sensibili a giurisdizioni esterne alla propria: è un’obiezione interessata, ma non per questo sbagliata.

Il KYC costruisce il bersaglio che poi nessuno sa difendere

Una password si cambia. Un numero di passaporto, un volto, una data di nascita, no. I dati KYC sono credenziali che non scadono e non si revocano: una volta uscite, sono uscite per sempre, e il selfie di verifica finito su Telegram oggi è materia prima per aprire un conto a tuo nome altrove domani. Abbiamo costruito l’intera identità digitale su segreti che non possono essere ruotati.

Il seguito lo conferma. Il 14 settembre, due giorni dopo l’ammissione di Revolut, un cliente colpito ha ricevuto un SMS di phishing. Il messaggio compariva nella stessa conversazione degli SMS autentici della banca. Secondo Malwarebytes, in almeno un caso il link apriva una pagina che chiedeva l’accesso alla fotocamera e imitava la verifica video di Revolut, quella del “gira la testa”, prima di chiedere la password. Non è ancora provato che la campagna usi i dati trafugati. Ma il meccanismo dice molto. Il rito del KYC ci ha abituati a consegnare il nostro volto a una schermata, e quel rito è diventato il modello perfetto per un truffatore: chi lo imita raccoglie esattamente il materiale che serve per superare il prossimo KYC.

A questo si aggiunge il vero cortocircuito normativo: l’obbligo di raccolta si somma all’obbligo di conservazione. La normativa antiriciclaggio non si limita a permettere l’accumulo di questi documenti, lo impone, e impone di tenerli per anni dopo la chiusura del rapporto. Lo Stato non chiede alle aziende di custodire un tesoro: le costringe a costruirne uno e a lasciarlo lì. Ogni honeypot di questo tipo è una creatura della legge, non della negligenza.

Poi c’è l’asimmetria del danno, che è la parte di cui non si parla mai. Per il cittadino esposto il costo è permanente, personale e non assicurabile. Per l’istituzione è una sanzione e un comunicato. Revolut prepara una quotazione che potrebbe valutarla fino a 200 miliardi di dollari: perfino una multa GDPR massima è una riga di bilancio. E la frase ripetuta in ogni comunicazione — “i sistemi di Revolut e i fondi dei clienti non sono stati toccati” — merita di essere letta due volte. Ciò che viene presentato come rassicurazione è l’ammissione che la tua identità non rientra tra le cose che contano come patrimonio.

Chi pensa che sia un incidente isolato guardi le due settimane precedenti. Il 10 settembre IDScan, fornitore di verifica documentale, ha confermato il furto di oltre 150 milioni di patenti statunitensi e canadesi, foto comprese, consultabili su un sito nel dark web. A maggio 2025 Coinbase aveva ammesso l’esfiltrazione dei dati di 69.461 clienti, documenti d’identità inclusi, ottenuti corrompendo operatori dell’assistenza. Prima ancora Binance, prima ancora Ledger. Il pattern non è “alcune aziende sono sbadate”. Il pattern è che un sistema che obbliga alla raccolta di massa di identificatori irrevocabili li farà trapelare, perché il numero di soggetti che li detengono e il tempo per cui li detengono tendono entrambi all’infinito.

Per chi usa Bitcoin il danno ha una forma precisa

Per il nostro pubblico questa storia ha un secondo livello. Un dossier KYC unito alla cronologia completa delle transazioni significa, in pratica, gli indirizzi di prelievo. Da quegli indirizzi l’analisi on-chain ricostruisce il resto: cluster di UTXO, saldi, abitudini. Aggiungi l’indirizzo di residenza e la professione, che erano nello stesso pacchetto, e non hai più un data breach: hai una lista operativa di bersagli, con patrimonio stimato e citofono.

Che l’attacco fosse mirato a clienti ad alto patrimonio non è un dettaglio: chi ha compilato quella richiesta sapeva esattamente cosa stava chiedendo. Il “wrench attack” — la rapina fisica a chi detiene bitcoin — ha smesso da tempo di essere una battuta tra nerd ed è diventato una voce nelle statistiche criminali europee. È il motivo per cui l’obiezione “non ho nulla da nascondere” qui non regge nemmeno un secondo: la privacy finanziaria non è pudore, è una misura di sicurezza fisica.

C’è anche un’ironia amara. Il KYC esiste ufficialmente per impedire ai criminali di muoversi nel sistema finanziario. In questo caso i criminali si sono mossi dentro il sistema finanziario usando i canali legittimi dello Stato, e il risultato netto è stato consegnare a loro l’identità di 680 persone oneste.

Cosa puoi fare, concretamente

Parti dal presupposto che sia già pubblico. Non puoi ruotare un passaporto: puoi solo cambiare il modello di minaccia. Da oggi tratta ogni contatto in entrata come ostile, perché chi ti chiama potrebbe conoscere il tuo saldo, il tuo IBAN e le tue ultime operazioni. Nessuna banca chiede codici al telefono: si riaggancia e si richiama il numero stampato sulla carta. Lo stesso vale per gli SMS: non si fa mai una verifica del volto partendo da un link, solo dall’app aperta a mano.

Esercita i tuoi diritti. Se sei tra i coinvolti, l’articolo 15 del GDPR ti dà diritto a sapere esattamente quali campi sono stati trasmessi, a chi e quando; l’articolo 33 obbliga il titolare a una notifica completa, non a un generico “numero limitato di clienti”. Se la risposta è evasiva, il reclamo al Garante è gratuito e la vicenda è già all’attenzione dell’ICO.

Igiene on-chain. Non consolidare in un’unica transazione gli UTXO provenienti da prelievi KYC con il resto delle tue monete: stai collegando pubblicamente due identità. Usa un indirizzo nuovo per ogni prelievo, e ricorda che l’exchange conserva per sempre l’indirizzo di destinazione che gli hai comunicato.

Riduci la superficie. Un solo conto regolamentato come rampa fiat, tenuto vuoto; tutto il resto in self-custody, dove non esiste un ufficio compliance che possa rispondere a una PEC al posto tuo. E dove la legge lo consente, privilegia i canali di acquisizione che non richiedono di cedere copia dei documenti: P2P, mining, farsi pagare direttamente in bitcoin.

Conclusione

La versione comoda di questa storia è che Revolut ha commesso un errore procedurale e adesso rafforzerà la verifica delle richieste giudiziarie. La versione vera è più scomoda: il sistema ha funzionato esattamente come è stato progettato. Un’istituzione regolamentata ha raccolto i dati che era obbligata a raccogliere, li ha conservati per il tempo in cui era obbligata a conservarli, e li ha consegnati a chi li ha chiesti con le credenziali che la legge riconosce come valide. Nessuno ha infranto le regole, tranne chi ha comprato una password in un log di malware. E lo ha fatto per cinque mesi.

Continuiamo ad affidare la nostra identità a organizzazioni che non sanno gestirla, e soprattutto a un impianto normativo che rende impossibile gestirla bene. Finché il dibattito resterà su quanto siano sicuri i server di Revolut, staremo discutendo della serratura mentre la porta è spalancata per legge. L’unico dato che non può essere esfiltrato è quello che non è mai stato raccolto.

Questo articolo non contiene raccomandazioni di investimento né consulenza legale.

Fonti: