Quando un gruppo di hacker sceglie come nome in codice “I Am Not A Villain” — letteralmente “non sono un cattivo” — la provocazione è già parte del messaggio. Ma dietro l’ironia c’è una vicenda concreta e preoccupante: un attacco Revolut hacker che, secondo quanto dichiarato dal gruppo stesso, avrebbe sottratto 147 gigabyte di dati sensibili legati ad almeno 680 clienti internazionali della fintech britannica. La notizia è emersa a metà settembre 2026, riportata il 12 settembre da testate come il Financial Times, TechCrunch e Reuters, e ha immediatamente sollevato interrogativi non solo sulla sicurezza di uno dei servizi bancari digitali più diffusi in Europa, ma anche su un elemento ancora più delicato: la presenza, tra i file sottratti, di presunti documenti e comunicazioni delle forze dell’ordine italiane.
Chi è il gruppo “I Am Not A Villain” e come ha rivendicato l’attacco
Il gruppo si muove nell’ombra, ma ha scelto un canale ben preciso per uscire allo scoperto: Telegram. È attraverso questa piattaforma di messaggistica che gli hacker hanno contattato la redazione del Financial Times, rivendicando la responsabilità della violazione e fornendo dettagli sull’operazione. L’alias utilizzato è IAmNotAVillain, un nome che suona quasi come una dichiarazione d’intenti paradossale — come se i responsabili volessero distinguersi dai cybercriminali “classici”, pur avendo messo in atto un’operazione di estorsione su larga scala.
Questa scelta comunicativa non è casuale. Negli ultimi anni, diversi gruppi di ransomware e cybercriminali hanno adottato strategie di media outreach dirette, contattando giornalisti e testate per amplificare la pressione sulle vittime e aumentare la probabilità che il riscatto venga pagato. La logica è semplice: più la notizia circola, più l’azienda colpita ha interesse a chiudere la questione rapidamente, spesso cedendo alle richieste. Non è detto che questo schema funzioni sempre — e nel caso di Revolut le dinamiche restano ancora da chiarire — ma il modus operandi è ormai consolidato nel panorama della criminalità informatica internazionale.
Il gruppo afferma di aver condotto l’operazione nel corso di diversi mesi, il che suggerisce un’infiltrazione prolungata e pianificata, non un attacco opportunistico. L’accesso ai sistemi, secondo quanto dichiarato dagli hacker stessi, sarebbe avvenuto in maniera graduale, permettendo di raccogliere un volume di dati considerevole prima che la violazione venisse individuata — o almeno prima che diventasse di dominio pubblico.
I 147 gigabyte: cosa contengono (e cosa si teme)
Il dato più immediato che colpisce è la dimensione del materiale sottratto: 147 gigabyte di informazioni sensibili. Per dare un’idea della portata, si tratta di una quantità sufficiente a contenere decine di migliaia di documenti, estratti conto, comunicazioni interne, dati anagrafici e molto altro ancora. Il gruppo dichiara che il materiale riguarda circa 680 clienti internazionali di Revolut, una cifra che, in termini assoluti, potrebbe sembrare contenuta rispetto alla base utenti globale della fintech — che conta decine di milioni di account — ma che nasconde una complessità ben maggiore.
Il motivo è semplice: non si tratta solo di dati finanziari o anagrafici ordinari. Tra il materiale rivendicato dagli hacker figurerebbero, secondo le loro stesse dichiarazioni, screenshot di comunicazioni con la polizia italiana e documenti riservati. Questo elemento trasforma un già grave episodio di violazione informatica in qualcosa di potenzialmente più complesso, con implicazioni che vanno oltre la sfera privata dei singoli clienti colpiti.
La presenza di documenti delle forze dell’ordine italiane — ammesso che le affermazioni degli hacker siano veritiere — potrebbe significare che, tra i clienti di Revolut oggetto di indagini o monitoraggio finanziario, vi siano soggetti di interesse investigativo. Oppure che la fintech abbia ricevuto richieste formali di dati nell’ambito di procedimenti giudiziari, e che queste comunicazioni siano finite nel bottino digitale. È importante sottolineare che la natura specifica di tali documenti non è stata verificata in modo indipendente: si tratta di affermazioni del gruppo hacker, non di fatti accertati da autorità terze.
La richiesta di riscatto: tre milioni di dollari in 24 ore
L’aspetto più esplicitamente criminale della vicenda è la richiesta di riscatto: il gruppo ha preteso tre milioni di dollari entro un termine di sole 24 ore. Una cifra significativa, accompagnata da una pressione temporale estrema — una tecnica classica del ransomware moderno, pensata per impedire alla vittima di valutare le opzioni con calma, consultare esperti legali o attivare le autorità competenti in tempo utile.
👉 Leggi anche: Attacco hacker a tre aeroporti britannici: rubati i dati di 8 milioni di passeggeri
L’ultimatum di 24 ore è una scelta tattica precisa. Crea urgenza, genera panico interno, e mette l’azienda colpita di fronte a una scelta apparentemente binaria: pagare o vedere i propri dati pubblicati o venduti. In realtà, le best practice internazionali in materia di cybersicurezza — e le indicazioni delle autorità come l’Europol o l’FBI — sconsigliano quasi sempre il pagamento, per ragioni sia etiche che pratiche: pagare non garantisce la cancellazione dei dati, e spesso incoraggia ulteriori attacchi.
Ad oggi, non è noto se Revolut abbia pagato il riscatto o meno. La fintech non ha rilasciato dichiarazioni pubbliche dettagliate che confermino o smentiscano il pagamento, e questa assenza di comunicazione ufficiale è di per sé un elemento che alimenta l’incertezza tra gli utenti e gli osservatori del settore.
Revolut nel mirino: contesto e precedenti nel settore fintech
Revolut non è nuova alle attenzioni dei cybercriminali, né è l’unica fintech ad aver subito violazioni negli ultimi anni. Il settore dei servizi finanziari digitali è strutturalmente esposto: gestisce enormi volumi di dati personali e finanziari, opera su scala globale, e spesso cresce a una velocità che rende difficile mantenere i sistemi di sicurezza sempre aggiornati rispetto all’evoluzione delle minacce.
Nel 2022, Revolut aveva già subito una violazione che aveva esposto i dati di oltre 50.000 utenti, a seguito di un attacco di social engineering che aveva compromesso un database. In quell’occasione, la società aveva comunicato l’incidente con relativa tempestività, avvisando i clienti coinvolti. Quella vicenda aveva già messo in luce alcune fragilità nei processi interni di gestione degli accessi.
Il caso attuale, però, presenta caratteristiche diverse e potenzialmente più gravi: la durata plurimensile dell’operazione suggerisce che gli hacker abbiano avuto accesso prolungato ai sistemi, e la presenza di presunti documenti delle forze dell’ordine introduce una dimensione istituzionale inedita. Per una fintech che ambisce a diventare una banca digitale a pieno titolo — Revolut ha ottenuto la licenza bancaria nel Regno Unito nel 2024 — episodi di questo tipo rappresentano una sfida reputazionale oltre che operativa.
Il settore fintech europeo, del resto, è sempre più nel mirino di attori malevoli sofisticati. Secondo i dati pubblicati dall’Agenzia dell’Unione Europea per la Cybersicurezza (ENISA), gli attacchi al settore finanziario hanno registrato un’escalation costante negli ultimi tre anni, con un aumento significativo delle operazioni di ransomware e data exfiltration mirate a istituzioni che gestiscono dati di pagamento e identità digitale.
Il nodo italiano: forze dell’ordine e dati sensibili
L’elemento che ha attirato maggiore attenzione in Italia è la rivendicazione degli hacker di possedere comunicazioni e documenti delle forze dell’ordine italiane. Se confermato, questo dato aprirebbe scenari complessi. Le autorità italiane — come quelle di molti altri Paesi — inviano periodicamente richieste formali di informazioni a istituti finanziari e fintech nell’ambito di indagini su frodi, riciclaggio, evasione fiscale o altri reati finanziari. Queste comunicazioni, per natura, contengono informazioni riservate: nomi di indagati, riferimenti a procedimenti in corso, dettagli operativi.
Se tali documenti fossero davvero nelle mani del gruppo IAmNotAVillain, le implicazioni andrebbero ben oltre la privacy dei singoli clienti di Revolut. Potrebbero essere compromesse indagini in corso, esposti soggetti sotto protezione, o rivelate informazioni che le autorità giudiziarie avevano tutto l’interesse a mantenere riservate. È per questo che la Procura della Repubblica e le autorità di polizia postale italiana stanno — secondo quanto riportato dalle fonti — monitorando attentamente l’evoluzione della vicenda.
👉 Leggi anche: Cyberattacco ai tre aeroporti britannici: 9 milioni di passeggeri esposti, gli hacker chiedono riscatto
Va ribadito con chiarezza: la natura specifica e la veridicità dei documenti rivendicati dagli hacker non sono state verificate in modo indipendente. Il gruppo potrebbe esagerare la portata del materiale in suo possesso per aumentare la pressione su Revolut e sulle autorità. Questa tattica — gonfiare le dichiarazioni per massimizzare l’impatto — è comune nel panorama del cybercrimine organizzato.
Cosa devono fare i clienti Revolut adesso
In assenza di una comunicazione ufficiale da parte di Revolut che identifichi i clienti coinvolti, la prudenza suggerisce alcune misure di base applicabili a chiunque utilizzi servizi finanziari digitali. Prima di tutto, è consigliabile cambiare la password del proprio account e attivare — se non lo si è già fatto — l’autenticazione a due fattori (two-factor authentication, 2FA). Questo secondo livello di protezione rende significativamente più difficile per un attaccante accedere a un account anche in possesso delle credenziali.
È opportuno inoltre monitorare i movimenti del conto con attenzione nelle settimane successive, segnalando immediatamente qualsiasi transazione sospetta o non autorizzata al servizio clienti. In caso di dubbio sull’autenticità di comunicazioni ricevute via email o SMS che si presentano come provenienti da Revolut, è bene non cliccare su link e accedere sempre direttamente dall’app ufficiale o dal sito istituzionale.
Chi teme di essere tra i 680 clienti potenzialmente coinvolti può contattare direttamente il supporto di Revolut per richiedere informazioni. In Europa, il Regolamento Generale sulla Protezione dei Dati (GDPR) obbliga le aziende a notificare i soggetti interessati in caso di violazione che comporti un rischio elevato per i loro diritti e libertà — il che significa che, se la violazione è confermata nelle dimensioni dichiarate, Revolut sarà tenuta per legge a informare i clienti coinvolti.
Trasparenza, regolamentazione e la posta in gioco per il futuro
Episodi come questo alimentano un dibattito più ampio sulla responsabilità delle fintech nella protezione dei dati degli utenti. Le aziende che operano nel settore finanziario digitale godono di una fiducia implicita enorme: i loro clienti affidano loro non solo il denaro, ma anche un patrimonio di dati personali che, se mal gestito o esposto, può avere conseguenze durature.
La trasparenza nella comunicazione è uno degli elementi che distingue una risposta responsabile da una gestione opaca di una crisi. Nei giorni successivi alla divulgazione pubblica dell’attacco, Revolut non ha ancora rilasciato — almeno non nelle fonti disponibili — una dichiarazione ufficiale dettagliata che chiarisca l’entità della violazione, i clienti coinvolti e le misure adottate. Questo silenzio, comprensibile da un punto di vista legale e strategico nelle prime ore di una crisi, diventa sempre meno accettabile con il passare del tempo.
Le autorità di regolamentazione europee, a partire dalla Banca Centrale Europea e dalle autorità nazionali competenti, osservano con attenzione crescente la resilienza informatica delle istituzioni finanziarie. La direttiva DORA (Digital Operational Resilience Act), entrata pienamente in vigore nel gennaio 2025, impone standard più stringenti proprio in materia di gestione degli incidenti informatici e obblighi di notifica. Un caso come quello di Revolut rappresenta un banco di prova reale per capire se la normativa europea stia producendo gli effetti desiderati — o se le lacune rimangano troppo ampie per contenere minacce di questa portata.
La storia di questo attacco Revolut hacker è ancora in corso: le autorità investigano, la fintech tace ufficialmente, e il gruppo IAmNotAVillain ha già dimostrato di saper usare i media con efficacia. Quel che è certo è che la vicenda ha riportato al centro del dibattito pubblico una domanda fondamentale che riguarda tutti noi: quanto siamo davvero al sicuro quando affidiamo i nostri dati — e i nostri soldi — a un’app sul telefono?
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
