La truffa a Revolut è stata fatta con un indirizzo della prefettura di Reggio Calabria

I criminali informatici che per mesi hanno convinto Revolut a farsi consegnare dati di centinaia di clienti hanno sfruttato un indirizzo di posta certificata della prefettura di Reggio Calabria, entilocali.prefrc@pec.interno.it, presentandosi come investigatori impegnati in un’indagine. La banca ha confermato di aver inviato dati dei passaporti, degli indirizzi di residenza, e soprattutto dei conti bancari e delle transazioni di 680 clienti.

L’indirizzo riconducibile alla prefettura di Reggio Calabria compare in alcuni screenshot delle mail utilizzate dai criminali informatici diffuse dall’account di X Korra, che è entrato in contatto con il gruppo che si fa chiamare “IAmNotAVillain”. I criminali avrebbero chiesto un riscatto a Revolut (non si sa a quanto ammonti la richiesta) minacciando di pubblicare dati e comunicazioni tra la banca e i clienti.

Negli ultimi due giorni la pubblicazione degli screenshot ha permesso di capire meglio come è stata organizzata la truffa e come Revolut abbia gestito le richieste. Nelle mail mandate alla banca ci sono riferimenti a una presunta indagine della procura di Milano e ai regolamenti europei che impongono agli istituti finanziari di fornire informazioni a forze dell’ordine ed enti governativi, in particolare l’ordine europeo di indagine, uno strumento di collaborazione tra Stati previsto da una direttiva europea del 2014.

Per non alimentare sospetti, IAmNotAVillain non si è rivolto alla sede italiana di Revolut, ma alla sede lituana. Lo scambio è andato avanti diversi mesi. In un messaggio del 24 marzo 2026 Revolut chiede perfino di correggere l’intestazione di una mail, spiegando ai criminali informatici come compilare correttamente la richiesta per ricevere i dati. In un altro scambio di mail di inizio maggio Revolut si scusa per aver mandato dati in ritardo e dice di aver avviato un audit interno per verificare lo stato della pratica.

L’indirizzo di posta certificata riconducibile alla prefettura di Reggio Calabria compare invece nello screenshot di una mail del 24 luglio, con cui Revolut conferma di aver inviato tutti i documenti e comunica l’invio di un’altra mail contenente la password necessaria per decrittare i dati. Nello stesso messaggio la banca dice che 169 profili richiesti sono gestiti dalla sede del Regno Unito, e che quindi va seguita un’altra procedura legale.

Revolut ha messo a disposizione tutti i dati nonostante alcune stranezze: la richiesta per un’indagine della procura di Milano inviata da un indirizzo mail di Reggio Calabria è la più evidente, ma ci sono anche numeri di protocollo sbagliati riconducibili alla procura di Roma e altri dettagli minori che avrebbero dovuto quantomeno insospettire qualcuno.

Non è ancora chiaro invece in che modo i criminali informatici abbiano violato l’indirizzo di posta certificata della prefettura di Reggio Calabria. Solitamente le PEC hanno l’autenticazione a due fattori, un sistema che protegge l’accesso alle mail, ma non si sa se la prefettura l’avesse adottato come misura di sicurezza. Al momento il ministero dell’Interno si è limitato a dire che sul caso sta indagando la polizia postale.