Revolut, Fake Government Requests and the New Face of Digital Trust | ENG-ITA

English version

Hello everyone,

some cybersecurity stories are frightening because of the scale of the damage. Others are unsettling because of the way they happen.

The recent Revolut case belongs to the second category.

When people hear that a bank or financial platform has been “hacked,” the usual image is simple: attackers find a technical weakness, enter a system and steal data or money.

According to the information available so far, this story appears to be different.

The alleged attackers did not need to break directly into Revolut’s customer accounts. Instead, they reportedly used a compromised Italian institutional PEC email channel to impersonate law-enforcement authorities and send requests that looked legitimate.

Revolut then disclosed sensitive customer information in response to those fraudulent requests.

That changes the nature of the problem completely.

This is not only about protecting servers. It is also about knowing whether the identity behind an official-looking digital request can really be trusted.

What Revolut has confirmed

Before going further, it is important to separate confirmed information from claims still being investigated.

Revolut has confirmed that customer information was disclosed to an unauthorised third party after the company received fraudulent requests that appeared to come from a legitimate government domain.

The company has also said that its internal systems were not breached and that customer funds were not affected.

That is an important distinction.

Based on the information available at the time of writing, this is not a case of attackers entering Revolut accounts and taking customers’ money directly.

However, the personal information involved remains highly sensitive. Reports describe identity documents, home addresses, bank account information, verification photographs and transaction-related details among the data requested through the fake official communications.

The number most frequently reported is around 680 affected customers. Later reporting also indicated that eight of those customers were Italian, though the investigation is still developing.

Even when money is not taken immediately, this type of information can become extremely valuable to criminals.

Why the Italian PEC connection matters

The most unusual part of the case is the alleged use of an institutional PEC mailbox linked to the Prefecture of Reggio Calabria.

PEC, or Posta Elettronica Certificata, is not an ordinary email system. In Italy, it is used for certified communications that can have legal value, similar in some respects to registered mail.

That is why the alleged misuse of such an account is so serious.

The investigation does not establish that the entire IT system of the Prefecture or the Interior Ministry was compromised. It would be inaccurate to say that.

What appears to be established is that a PEC account associated with the Prefecture of Reggio Calabria was compromised and used to send requests that looked credible enough to be processed as official.

The Ministry of the Interior and Italian authorities are investigating how that happened, how long the account may have been accessible and whether similar requests were sent elsewhere.

An institutional address can create a powerful sense of legitimacy. For a company that regularly receives lawful requests for information, that trust can become a weak point if the identity behind the message has been stolen.

The risk does not end with the data leak

The fact that customer funds were not affected is obviously positive.

But it does not mean that the people involved should ignore the situation.

Stolen personal information can be used later in targeted fraud attempts.

Imagine receiving a call from someone claiming to work for Revolut. A normal scam attempt may sound suspicious. But if the caller knows your full name, address, account details or parts of your transaction history, the conversation can become much more convincing.

This is one of the reasons why targeted phishing is more dangerous than a generic mass email.

Criminals do not necessarily need a password on the first day. They may use stolen information to build trust, create urgency and persuade a person to reveal a password, an authentication code or approve a payment later.

After an incident like this, a message that contains accurate personal details should not automatically appear trustworthy.

In fact, it is a reason to be even more cautious.

The ransom claim and the alleged 147 GB

The group identifying itself as IAmNotAVillain publicly claimed responsibility for the operation and reportedly demanded $3 million in cryptocurrency.

According to media reports, the demand was presented publicly rather than through a conventional direct negotiation with Revolut. The company has stated that it did not receive a direct ransom request from the attackers.

That difference may sound technical, but it matters. A public extortion claim and a confirmed direct negotiation are not the same thing.

The group also claimed to possess around 147 GB of data allegedly taken from Italian law-enforcement systems.

This is the point where caution is essential.

The 147 GB figure is a claim by the alleged attackers. It has not been independently verified by Italian authorities in the information currently available.

If confirmed, it would make this case much larger than a single fraud operation against a financial platform. But until then, it should be treated as an unverified claim, not as an established fact.

There is already enough confirmed information to show why this case matters. There is no need to transform an unproven number into a certainty.

The real lesson is about digital trust

For me, the most important part of the Revolut story is not just Revolut.

It is the question of trust.

A financial company can spend enormous resources on encryption, fraud detection, server security and customer authentication. But if an attacker manages to impersonate an authority that the company believes it is required to trust, the danger moves beyond a traditional technical breach.

The technology may be operating normally.

The people using it may simply be acting on false but convincing information.

That is much harder to defend against.

Governments, banks, fintech companies and ordinary users all depend on digital trust. They depend on believing that a verified address, an official domain or a certified communication really identifies the person or institution behind it.

Cases like this show that identity verification cannot stop at the appearance of a legitimate sender.

What Revolut customers can do now

If you use Revolut, there is no reason to panic.

The company has said that customer funds were not compromised. Still, this is a good moment to be more careful than usual with calls, emails and messages.

Never share passwords, PINs, recovery phrases or one-time authentication codes with someone who contacts you unexpectedly.

Do not approve a transaction simply because a caller says there is an urgent security problem.

If a message or call feels unusual, stop the conversation and contact Revolut yourself through the official app or official contact channels.

It may take a few extra minutes.

That is usually a very small price to pay for avoiding a much bigger problem.

The investigation is still ongoing, and several questions remain unanswered: how was the PEC mailbox compromised, how long was it used, how many fraudulent requests were sent and what happened to all of the information obtained?

The case is not finished.

But one lesson is already clear: cybersecurity is no longer only about building stronger digital walls.

It is also about recognising when the person knocking on the door has stolen someone else’s identity.

---

---

Versione italiana

Ciao a tutti,

alcune storie di cybersecurity fanno paura per la quantità di danni che possono provocare. Altre inquietano soprattutto per il modo in cui avvengono.

Il caso Revolut appartiene alla seconda categoria.

Quando sentiamo dire che una banca o una piattaforma finanziaria è stata “hackerata”, immaginiamo quasi sempre la stessa scena: qualcuno trova una vulnerabilità tecnica, entra nei sistemi e ruba dati o denaro.

Secondo le informazioni disponibili finora, qui sarebbe accaduto qualcosa di diverso.

I presunti responsabili non avrebbero avuto bisogno di entrare direttamente nei conti Revolut. Avrebbero invece utilizzato una PEC istituzionale italiana compromessa per fingersi autorità investigative e inviare richieste che apparivano ufficiali.

Revolut avrebbe quindi comunicato dati sensibili in risposta a quelle richieste fraudolente.

Ed è proprio questo che rende il caso particolarmente delicato.

Non riguarda soltanto la protezione di server e database. Riguarda anche la capacità di capire se l’identità dietro una richiesta digitale apparentemente ufficiale sia davvero autentica.

Cosa ha confermato Revolut

Prima di proseguire, è importante distinguere i fatti confermati dalle informazioni ancora oggetto di indagine.

Revolut ha confermato che alcuni dati dei clienti sono stati comunicati a una parte non autorizzata dopo la ricezione di richieste fraudolente che sembravano provenire da un dominio governativo legittimo.

La società ha inoltre dichiarato che i suoi sistemi interni non sono stati violati e che i fondi dei clienti non risultano coinvolti.

È una differenza importante.

In base alle informazioni disponibili al momento della pubblicazione, non si tratta di un attacco nel quale qualcuno è entrato nei conti Revolut per svuotare direttamente i saldi.

I dati coinvolti restano però molto sensibili. Le ricostruzioni giornalistiche parlano di documenti d’identità, indirizzi, informazioni bancarie, fotografie utilizzate per la verifica dell’identità e dettagli collegati alle transazioni.

Il numero citato più spesso è quello di circa 680 clienti interessati. Secondo informazioni emerse successivamente, otto sarebbero italiani, ma l’indagine è ancora in corso.

Anche quando il denaro non viene sottratto subito, dati di questo tipo possono avere un valore enorme per i criminali.

Perché il collegamento con la PEC è così importante

L’elemento più insolito della vicenda è il presunto uso di una casella PEC istituzionale collegata alla Prefettura di Reggio Calabria.

La PEC, cioè la Posta Elettronica Certificata, non è una normale email. In Italia viene utilizzata per comunicazioni certificate che possono avere valore legale, in modo simile a una raccomandata.

Per questo il possibile utilizzo illecito di un account di questo tipo è particolarmente grave.

L’indagine non stabilisce che l’intero sistema informatico della Prefettura o del Ministero dell’Interno sia stato violato. Dirlo sarebbe scorretto.

Quello che appare confermato è la compromissione di una casella PEC associata alla Prefettura di Reggio Calabria, utilizzata per inviare richieste abbastanza credibili da essere trattate come ufficiali.

Le autorità italiane stanno cercando di capire come sia avvenuta la compromissione, per quanto tempo l’account sia rimasto accessibile e se siano state inviate altre richieste simili.

Un indirizzo istituzionale può creare una forte impressione di affidabilità. Per una società abituata a ricevere richieste legittime di dati, questa fiducia può trasformarsi in un punto debole se l’identità del mittente viene rubata.

Il rischio non termina con il furto dei dati

Il fatto che i fondi non risultino coinvolti è naturalmente una notizia positiva.

Non significa però che le persone interessate possano ignorare il problema.

I dati personali sottratti potrebbero essere utilizzati in seguito per tentativi di truffa mirati.

Immaginiamo di ricevere una telefonata da qualcuno che sostiene di lavorare per Revolut. Una truffa generica può sembrare sospetta. Ma se quella persona conosce nome, indirizzo, dettagli del conto o parte della cronologia delle transazioni, la conversazione può diventare molto più credibile.

È uno dei motivi per cui il phishing mirato è più pericoloso di una semplice email inviata a migliaia di persone.

I criminali non hanno necessariamente bisogno della password nel primo momento. Possono usare le informazioni rubate per creare fiducia, generare urgenza e convincere una persona a comunicare in seguito il codice di accesso, un codice temporaneo o ad approvare un pagamento.

Dopo un caso del genere, un messaggio con dettagli personali corretti non dovrebbe apparire automaticamente più affidabile.

Anzi, è un motivo per essere ancora più prudenti.

La richiesta di riscatto e i presunti 147 GB

Il gruppo che si identifica come IAmNotAVillain ha rivendicato pubblicamente l’operazione e, secondo diverse ricostruzioni, avrebbe chiesto un riscatto di 3 milioni di dollari in criptovalute.

La richiesta sarebbe stata diffusa pubblicamente e non attraverso una tradizionale trattativa diretta con Revolut. La società ha dichiarato di non aver ricevuto una richiesta di riscatto diretta dagli aggressori.

Può sembrare una differenza tecnica, ma è rilevante. Una minaccia pubblica e una trattativa diretta confermata non sono la stessa cosa.

Il gruppo ha inoltre dichiarato di possedere circa 147 GB di dati che sarebbero stati sottratti a sistemi delle forze dell’ordine italiane.

Qui è necessaria la massima prudenza.

Il dato dei 147 GB proviene dalle dichiarazioni dei presunti responsabili e non risulta verificato in modo indipendente dalle autorità italiane nelle informazioni disponibili.

Se confermato, trasformerebbe questa vicenda in un caso molto più ampio di una singola frode ai danni di una piattaforma finanziaria. Fino ad allora, però, deve essere trattato come una dichiarazione non verificata e non come un fatto accertato.

Ci sono già abbastanza elementi confermati per capire perché il caso sia importante. Non è necessario trasformare un numero non provato in una certezza.

La vera lezione riguarda la fiducia digitale

Per me, la parte più importante della vicenda non riguarda soltanto Revolut.

Riguarda la fiducia.

Una società finanziaria può investire risorse enormi in crittografia, sistemi antifrode, sicurezza dei server e autenticazione dei clienti. Ma se un aggressore riesce a impersonare un’autorità che l’azienda ritiene di dover ascoltare, il pericolo si sposta oltre la tradizionale violazione tecnica.

La tecnologia può funzionare correttamente.

Le persone che la utilizzano possono però agire sulla base di informazioni false, ma molto convincenti.

Ed è più difficile difendersi da questo tipo di inganno.

Governi, banche, fintech e utenti comuni dipendono tutti dalla fiducia digitale. Dipendono dall’idea che un indirizzo verificato, un dominio istituzionale o una comunicazione certificata identifichino davvero la persona o l’ente che sta scrivendo.

Vicende come questa mostrano che il controllo dell’identità non può fermarsi all’apparenza di un mittente legittimo.

Cosa possono fare ora i clienti Revolut

Se usi Revolut, non c’è motivo di andare nel panico.

La società ha dichiarato che i fondi dei clienti non sono stati compromessi. È comunque il momento giusto per essere più prudenti del solito con chiamate, email e messaggi.

Non comunicare mai password, PIN, frasi di recupero o codici temporanei a chi ti contatta senza preavviso.

Non approvare una transazione solo perché qualcuno sostiene che esista un problema di sicurezza urgente.

Se una chiamata o un messaggio sembrano insoliti, interrompi la conversazione e contatta direttamente Revolut attraverso l’app o i canali ufficiali.

Potrebbe richiedere qualche minuto in più.

Di solito è un prezzo molto piccolo da pagare per evitare un problema molto più grande.

L’indagine è ancora aperta e restano diverse domande: come è stata compromessa la casella PEC, per quanto tempo è stata utilizzata, quante richieste fraudolente sono state inviate e che cosa sia accaduto ai dati ottenuti?

La storia non è finita.

Ma una lezione è già chiara: la cybersecurity non riguarda più soltanto la costruzione di muri digitali più forti.

Riguarda anche la capacità di riconoscere quando chi bussa alla porta ha rubato l’identità di qualcun altro.

---

Sources

• ANSA — Italian postal police probe Revolut customer data breach
• Euronews — Hackers stole data through an Italian PEC and demanded a $3 million ransom
• SecurityWeek — Revolut data breach: customer data, ransom claim and alleged police data

---

Full articles and project information

For the complete version of this Revolut article, with additional details and the full context, visit:

👉 Read the full Revolut article on Commenta La Notizia

👉 What is Commenta La Notizia?

If you found this article interesting, feel free to share your opinion in the comments and follow the project for future updates.

---

⚠️ Legal Notice

This article and all related multimedia content are the original work of the author.

Copying, reproducing, distributing, republishing or modifying this material, in whole or in part, on any platform is not permitted without prior written authorization from the author.

© CommentaLaNotizia.com — All rights reserved.

👤 Author: @condividisulweb