In vendita 75 milioni di presunti dati Revolut, ma l'origine resta da verificare

Un hacker sostiene di essere entrato in possesso di un database con 75 milioni di dati attribuiti a clienti Revolut e lo avrebbe messo in vendita su un forum frequentato da criminali informatici. Al momento, tuttavia, non ci sono prove che confermino né le dimensioni dell’archivio né l’esistenza di una nuova violazione dei sistemi della società. La segnalazione arriva da Cybernews, che ha analizzato un campione composto da oltre cento record distribuiti in quattro file CSV. All’interno sarebbero presenti nomi, indirizzi email, numeri di telefono, Paesi di residenza, indirizzi, indirizzi IP utilizzati durante la registrazione e altri identificativi legati agli account.

Il campione conterrebbe anche alcune informazioni sulle carte, tra cui le ultime quattro cifre, il circuito, la data di scadenza e lo stato della carta, indicato ad esempio come attivo, bloccato o congelato. Non sarebbero invece presenti i numeri completi o i codici di sicurezza. Tra i dati esaminati compaiono inoltre modelli dei dispositivi, sistemi operativi, date e orari delle attività e credenziali protette tramite algoritmi di hashing come bcrypt e Argon2id. La presenza di password sottoposte a hashing non significa che siano immediatamente utilizzabili, ma potrebbe comunque offrire ulteriori elementi a chi tenta di ricostruire il profilo delle vittime.

I dati più recenti presenti nel campione risalirebbero a maggio del 2025. I ricercatori non hanno però trovato collegamenti con violazioni già documentate e non sono riusciti a verificare la dichiarazione del venditore, secondo il quale il database conterrebbe informazioni relative a 75 milioni di utenti. Anche il prezzo richiesto, appena 500 dollari, viene considerato insolito per un archivio di queste dimensioni. L’ipotesi ritenuta più probabile è che i dati siano stati raccolti e aggregati da fonti differenti, invece di provenire da un singolo attacco contro l’infrastruttura di Revolut.

La società ha confermato di essere al corrente dell’annuncio, ma ha dichiarato di non aver rilevato segnali di una violazione. Secondo un portavoce, il messaggio pubblicato sul forum non conterrebbe un conteggio verificabile, dettagli tecnici o altri elementi sufficienti a dimostrare quanto sostenuto dal venditore. Revolut ha comunque avviato ulteriori verifiche.

Anche in assenza dei dati completi delle carte, le informazioni presenti nel campione potrebbero essere sfruttate per preparare campagne di phishing particolarmente credibili. Nomi, recapiti, dispositivi utilizzati e dettagli parziali dei metodi di pagamento permetterebbero infatti di creare messaggi molto più difficili da distinguere dalle comunicazioni autentiche. Gli utenti Revolut dovrebbero quindi prestare particolare attenzione a email, SMS o telefonate che chiedono di confermare operazioni, sbloccare carte o fornire codici di accesso. Revolut, ricordiamo, non chiede di comunicare password, PIN o codici ricevuti tramite l’app attraverso messaggi, chiamate o collegamenti inviati da soggetti esterni.