Il 15 settembre KELA Cyber pubblica un’analisi apparentemente laterale rispetto al caso Revolut. Non cerca di ricostruire soltanto come siano stati ottenuti i dati dei clienti della fintech. Guarda invece all’infrastruttura costruita successivamente da chi si presenta con il nome IAmNotAVillain. Ed è lì che trova qualcosa di interessante.

Il sito di estorsione non era stato costruito attraverso un’infrastruttura particolarmente sofisticata. Era una pagina statica ospitata attraverso GitHub Pages. Seguendo quella traccia, KELA individua il repository utilizzato per costruire il sito. L’account GitHub era stato creato il 4 luglio 2026 e non mostrava attività pubblica fino al giorno dell’operazione. Poco prima della creazione del repository, il profilo era stato modificato. Poi arriva l’errore più interessante.

Nei metadati dei commit era rimasto un indirizzo Outlook. Attraverso quell’indirizzo KELA individua collegamenti con un account Microsoft registrato sotto il nome “Izael Wong”, indicato in Brasile, e con un account Etsy denominato “Calvin”. Ma c’è un particolare ancora più curioso. L’account Etsy era stato registrato alle 22:18 del 4 luglio. Quello GitHub alle 22:19.

Un minuto di distanza. Per KELA è un’indicazione compatibile con account creati nella stessa sessione. Non significa però aver identificato l’hacker. “Izael Wong” potrebbe essere un alias. L’indirizzo email potrebbe appartenere a un account compromesso. Anche GitHub ed Etsy potrebbero essere stati acquisiti o preparati precedentemente proprio per essere utilizzati nell’operazione. KELA non va oltre.

Ma la traccia rimane.

Un sito costruito in sei ore

La cronologia Git racconta anche come è nato il sito. Il repository viene costruito in circa sei ore e mezza il 14 settembre, utilizzando l’interfaccia web di GitHub. La cronologia conserva persino materiale che l’operatore aveva successivamente cercato di eliminare. KELA recupera riferimenti a file rimossi e immagini cancellate. Nei commit rimangono inoltre errori di battitura, nomi provvisori e messaggi estremamente elementari.

Un commit proviene da un fuso orario UTC−07:00, compatibile con la costa occidentale degli Stati Uniti o del Canada. Non dimostra dove si trovasse fisicamente l’operatore. VPN, impostazioni locali e macchine remote rendono quel dato insufficiente per una geolocalizzazione. È però un altro elemento della traccia digitale.

KELA arriva quindi a una conclusione interessante: la capacità operativa dimostrata nell’attacco appare molto superiore alla cura utilizzata per costruire l’infrastruttura necessaria all’estorsione. C’è inoltre un altro elemento individuato da KELA. Nell’infrastruttura compare un sottodominio pay. collegato a GoDaddy Payments.

Il particolare è interessante perché il servizio di pagamento di GoDaddy richiede normalmente procedure di identificazione, informazioni fiscali e un conto bancario negli Stati Uniti. Questo non significa che dietro quell’account si trovi necessariamente la vera identità dell’attaccante. Potrebbero essere stati utilizzati dati rubati, prestanome o un account compromesso. Ma rappresenta potenzialmente un ulteriore punto investigativo presso un provider commerciale.

Poi l’infrastruttura comincia a muoversi

Nei giorni successivi la situazione cambia rapidamente. I primi domini .xyz vengono messi in server hold, il canale Telegram pubblico diventa irraggiungibile e l’account GitHub collegato all’infrastruttura non risulta più normalmente accessibile. Nel frattempo compaiono nuovi domini. Il 15 settembre viene registrato iamnotavillain[.]com. Il giorno successivo compaiono anche iamnotavillain[.]net e iamnotavillain[.]info.

Questi ultimi si presentano come siti informativi indipendenti. Ma un’analisi OSINT successiva evidenzia qualcosa di curioso. I due siti “informativi” condividono elementi grafici e strutturali con il sito attribuito all’attore. Stessa organizzazione delle sezioni, elementi visivi simili e riferimenti comuni ai canali di contatto. Questo non dimostra che siano controllati dalla stessa persona. Introduce però una domanda interessante.

Stiamo osservando siti indipendenti che documentano IAmNotAVillain oppure una seconda infrastruttura costruita intorno allo stesso brand? La risposta, al momento, non è dimostrata.

Prima di ottenere i dossier, sapeva già chi cercare

C’è un altro particolare che permette di comprendere meglio la sofisticazione dell’operazione. Le circa 680 vittime Revolut non sarebbero state selezionate casualmente. Secondo una ricostruzione pubblicata il 25 settembre da Arkham Intelligence, IAmNotAVillain avrebbe utilizzato strumenti di blockchain analysis per individuare preventivamente clienti con un’elevata esposizione alle criptovalute. Il punto è fondamentale.

Bitcoin non è anonimo nel senso tradizionale del termine. Gli indirizzi non riportano necessariamente il nome del proprietario, ma transazioni, importi e movimenti rimangono registrati pubblicamente sulla blockchain. L’attaccante avrebbe sfruttato proprio questa caratteristica. Prima avrebbe osservato la blockchain alla ricerca di movimenti significativi e di transazioni riconducibili all’infrastruttura di Revolut.

Secondo le ricostruzioni disponibili, avrebbe poi utilizzato gli identificativi delle transazioni individuate per costruire richieste apparentemente provenienti dalle autorità italiane. A quel punto la richiesta rivolta a Revolut non era più generica. L’attaccante sapeva già quali transazioni cercare. E soprattutto sapeva quali clienti voleva identificare. La blockchain avrebbe quindi fornito la prima metà dell’informazione: indirizzi, transazioni e movimenti.

Le false richieste investigative avrebbero fornito la seconda: l’identità delle persone che si trovavano dietro quelle operazioni. È probabilmente uno degli aspetti più interessanti dell’intero attacco. Una tecnologia costruita per rendere pubblicamente verificabili le transazioni sarebbe stata utilizzata come strumento di ricognizione per individuare persone con patrimoni crypto rilevanti. Solo successivamente sarebbe entrata in gioco la compromissione dell’identità istituzionale italiana.

Non sarebbe quindi stato semplicemente un data breach. Prima è stata costruita una lista di obiettivi. Poi è stato trovato il modo di chiedere a Revolut chi fossero.

La vera tecnica: dalla blockchain al KYC

La sequenza ricostruita è: blockchain → indirizzi di wallet o identificativi di transazione (TXID) → richiesta apparentemente investigativa → Revolut → documenti KYC → identità delle persone. Arkham collega l’analisi on-chain alla selezione dei bersagli e l’inganno rivolto a Revolut all’ottenimento dei dati identificativi, ma precisa che l’attore non ha rivelato il metodo esatto (Arkham Intelligence).

Un resoconto basato su schermate diffuse dall’attore descrive un falso ordine che elencava indirizzi di deposito e una risposta di Revolut che menzionava alcuni «hashes». Le schermate riportate non stabiliscono da sole che ogni identificativo fosse un TXID né ricostruiscono l’intera selezione dei clienti (SilereNonPossum).

Il riscatto cambia forma

Nel frattempo l’operazione entra in una seconda fase. IAmNotAVillain pubblica una richiesta di 6.000 XMR, circa 3 milioni di dollari, accompagnata da un ultimatum. Revolut dichiara però di non aver ricevuto direttamente né la richiesta né comunicazioni dal gruppo. La scelta di Monero non è secondaria. Le transazioni Bitcoin sono pubblicamente osservabili sulla blockchain, proprio la caratteristica che sarebbe stata sfruttata per individuare le vittime.

Monero è invece progettato per rendere molto più difficile ricostruire mittente, destinatario e importo delle transazioni. In altre parole, la trasparenza della blockchain sarebbe stata utilizzata per trovare le vittime. Per essere pagato, l’attaccante ha preferito Monero. Prima della richiesta di IAmNotAVillain era inoltre comparsa un’altra rivendicazione. Un soggetto chiamato “Revolut Smilik” aveva avanzato una richiesta per 10.000 BTC.

IAmNotAVillain ha successivamente sostenuto che “Revolut Smilik” fosse un ex collaboratore entrato in possesso soltanto di un campione dei dati e che stesse tentando di attribuirsi l’intera operazione. Questa versione non è stata verificata indipendentemente. Scaduto l’ultimatum dei 6.000 XMR, succede qualcosa di ancora più interessante. Il 23 settembre un dataset attribuito al caso compare in vendita su diversi forum cybercriminali. Il prezzo non è più 3 milioni.

È circa 300.000 dollari, pagabili in Bitcoin o Monero. I venditori parlano di circa 700 clienti e di materiale comprendente informazioni KYC e dati personali. Revolut aveva comunicato il coinvolgimento di 680 clienti. L’esistenza delle offerte è stata osservata da fonti di threat intelligence. L’autenticità dell’intero archivio offerto rimane invece da dimostrare. Sul sito dell’attore compare contemporaneamente un’altra possibilità.

“BUY EXCLUSION OF YOUR DATA”. Non viene quindi monetizzata soltanto la vendita dell’archivio. La stessa vittima può essere trasformata in cliente dell’estorsore pagando affinché i propri dati vengano esclusi. L’operazione assume così tre livelli distinti. Prima il riscatto richiesto alla società.

Poi la vendita del database. Infine l’estorsione individuale delle persone contenute nel database. E Bitcoin finisce per assumere ruoli differenti nella stessa storia. Sarebbe stato utilizzato indirettamente come fonte di intelligence attraverso l’analisi della blockchain. Compare nella richiesta attribuita a Revolut Smilik.

E viene infine accettato, insieme a Monero, come mezzo di pagamento per acquistare il presunto database.

Ma il 25 settembre cambia nuovamente tutto

Fino a quel momento rimaneva una delle affermazioni più difficili da verificare di IAmNotAVillain. L’attore sosteneva di avere sottratto anche circa 147 GB di materiale appartenente a strutture italiane, composto da decine di migliaia di file. Le autorità italiane non avevano confermato quella ricostruzione. Il 25 settembre sul leak site compare però qualcosa di nuovo. Una sezione denominata “Italy files”.

Le fonti che hanno osservato le anteprime parlano di circa 85.000 file. Non risultava ancora disponibile l’intero archivio. Erano visibili soltanto campioni. Tra questi vengono descritti documenti attribuiti al Ministero dell’Interno e al Ministero della Giustizia, comunicazioni relative a passaporti diplomatici, dati riguardanti appartenenti alle forze dell’ordine, autorizzazioni, documentazione sanitaria e pratiche relative ai visti.

L’autenticità del materiale non è ancora stata verificata indipendentemente. Ed è fondamentale dirlo. Ma qualcosa è cambiato. Prima esisteva soltanto la dichiarazione dell’attaccante secondo cui possedeva decine di migliaia di documenti italiani. Dal 25 settembre esistono anche campioni che sostiene provengano da quell’archivio.

La coincidenza interessante

Ed è qui che la storia iniziata da KELA diventa ancora più interessante. Il 14 settembre qualcuno costruisce in poche ore un sito di estorsione lasciando dietro di sé un repository pubblico, un indirizzo email nei commit e account collegabili tra loro. KELA trova quella traccia. Nei giorni successivi quella prima infrastruttura viene progressivamente abbandonata o resa inaccessibile. Ma l’operazione non scompare.

Migra. Cambiano domini e canali. Il database Revolut compare sui mercati underground. Compare l’estorsione individuale. E infine vengono mostrati gli “Italy Files”.

La domanda quindi non è soltanto chi sia IAmNotAVillain. È un’altra.

La persona che ha lasciato quelle tracce su GitHub è la stessa che oggi controlla l’operazione, oppure stiamo osservando un’infrastruttura passata attraverso più mani?

Il dubbio non è teorico. Intorno al breach è comparso infatti anche un secondo soggetto, “Revolut Smilik”, che ha rivendicato l’operazione. IAmNotAVillain sostiene che si tratti di un ex collaboratore entrato in possesso soltanto di una parte dei dati e successivamente presentatosi come autore dell’attacco. Non esistono elementi pubblici sufficienti per stabilire quale delle due versioni sia vera.

Ed è proprio questo che rende pericoloso trasformare “Izael Wong”, “Calvin” o qualsiasi altro alias individuato attraverso l’infrastruttura in un’identità reale. Potremmo avere trovato una traccia dell’attaccante. Oppure una traccia dell’estorsore. Oppure ancora l’identità digitale di qualcuno che non ha realizzato l’intrusione iniziale.

Quello che sappiamo oggi

Il punto più interessante dell’intera vicenda potrebbe quindi non essere soltanto la vulnerabilità che ha permesso di ottenere i dati di Revolut. È ciò che è successo dopo. Un’operazione iniziata sfruttando l’identità digitale di un’istituzione italiana si è trasformata in una campagna pubblica di estorsione, vendita di dati e pressione sulle singole vittime. Nel mezzo è rimasta una scia digitale sorprendentemente visibile. GitHub.

Un indirizzo Outlook. Account creati a distanza di sessanta secondi. Domini registrati uno dopo l’altro. Canali scomparsi. Nuovi siti.

Un secondo soggetto che rivendica l’attacco. La blockchain utilizzata per individuare preventivamente le vittime. Bitcoin. Monero. E adesso gli “Italy Files”.

Nessuno di questi elementi, da solo, identifica IAmNotAVillain. Messi in sequenza raccontano però qualcosa che il semplice titolo “Revolut data breach” non racconta.

Forse l’attacco è terminato mesi fa. L’indagine sull’identità di chi lo ha trasformato in un’estorsione, invece, potrebbe essere appena iniziata.

Fonti e cronologia

La cronologia seguente distingue le comunicazioni ufficiali dalle ricostruzioni giornalistiche e dalle dichiarazioni dell’attore. Le affermazioni dell’attore e degli annunci di vendita non sono trattate come prova indipendente.

Marzo–luglio 2026, riferito il 17 settembre
Nelle premesse di un’interrogazione al Senato si riferiscono scambi di e-mail tra Revolut e gli autori della frode in questo periodo; l’atto richiama anche schermate di una mail del 24 luglio sulla trasmissione dei documenti e della relativa password. È un resoconto contenuto in un atto parlamentare, non una conferma del Governo sulla durata della compromissione. Senato, interrogazione 4-03368.

12 settembre 2026
Revolut conferma di aver comunicato dati a una terza parte che aveva inviato richieste fraudolente usando un dominio e-mail governativo legittimo. L’azienda dichiara che sistemi e fondi dei clienti non sono stati compromessi; inizialmente descrive i clienti coinvolti come un numero limitato. Reuters, 12 settembre.

14 settembre 2026
KELA pubblica l’analisi OSINT del sito di estorsione: GitHub Pages, repository e metadati pubblici, cronologia dei file e sottodominio GoDaddy Payments. L’analisi collega alcuni account ma avverte che non è stabilito se appartengano all’attore, siano stati compromessi o usino alias. KELA, aggiornato 15 settembre.

15 settembre 2026
Il Corriere della Sera riferisce che la richiesta fraudolenta sarebbe partita da una PEC compromessa riferibile alla Prefettura di Reggio Calabria; circa 680 clienti sarebbero stati avvisati secondo fonti citate dal giornale, cifra allora non confermata pubblicamente da Revolut. Corriere della Sera.

16–17 settembre 2026
IAmNotAVillain pubblica la richiesta di 6.000 XMR; Revolut dichiara di non aver ricevuto direttamente la richiesta. Importi e ultimatum sono rivendicazioni dell’attore; la posizione della società è riferita dalla stampa e dal suo comunicato. Red Hot Cyber, cronologia aggiornata al 24 settembre.

18 settembre 2026
In una risposta parlamentare riportata da RaiNews, il sottosegretario all’Interno riferisce che l’ACN/CSIRT ha analizzato un campione di e-mail e accertato la compromissione della PEC; la risposta indica 680 utenti coinvolti, otto italiani. È una conferma istituzionale del canale compromesso e del dato riferito al caso Revolut, non una conferma degli “Italy Files”. RaiNews, 18 settembre.

23 settembre 2026
Red Hot Cyber riferisce annunci di vendita per circa 700 record a circa 300.000 dollari in XMR/BTC e l’opzione “BUY EXCLUSION OF YOUR DATA”. L’esistenza degli annunci è riportata sulla base di osservazioni e fonti CTI; autenticità e completezza del database non sono confermate. Red Hot Cyber, aggiornamento 24 settembre.

25 settembre 2026
Arkham pubblica la propria analisi sulla selezione on-chain dei bersagli. La dichiarazione dell’attore al Financial Times riferisce genericamente “onchain analysis”; l’ipotesi specifica sui wallet e sui flussi Revolut è l’interpretazione di Arkham. Arkham Intelligence.

25 settembre 2026
Un resoconto di TechNadu riferisce la pubblicazione degli “Italy Files”, con numeri e categorie attribuiti all’attore, ma dichiara che autorità italiane e società di sicurezza non ne avevano verificato indipendentemente autenticità e portata. TechNadu.

Nota di aggiornamento: fotografia delle fonti consultate al 26 settembre 2026. Le stime “680 clienti”, “circa 700 record”, “147/150 GB”, “85.000 file” e “oltre 130.000 funzionari” hanno origini e livelli di verifica diversi: nel testo sono attribuite alle rispettive fonti e non vanno lette come quantità tutte confermate da un’autorità.