Revolut-datalek onderzocht na misbruik Italiaans overheidsaccount
Italiaanse autoriteiten onderzoeken een Revolut-datalek waarbij criminelen mogelijk een gehackt e-mailaccount van een overheidsinstantie gebruikten om klantgegevens op te vragen. Volgens Revolut kregen de aanvallers geen toegang tot de eigen systemen en bleven de tegoeden van klanten veilig.
De Italiaanse cybercrimepolitie Polizia Postale onderzoekt mogelijke ongeautoriseerde toegang tot computersystemen en computerfraude. De zaak is vooral opvallend omdat de aanvallers geen directe hack bij Revolut nodig hadden. Ze zouden zich via een officieel communicatiekanaal hebben voorgedaan als een Italiaanse overheidsinstantie.
Criminelen gebruiken officieel e-mailaccount
Centraal in het onderzoek staat een account binnen Posta Elettronica Certificata, kortweg PEC. Dit is een Italiaans systeem voor gecertificeerde e-mail dat bedrijven en overheidsinstanties gebruiken voor officiële communicatie.
De aanvallers zouden toegang hebben gekregen tot een PEC-account van een overheidsinstantie. Vervolgens gebruikten ze dat account om bij Revolut informatie over klanten op te vragen.
Omdat het verzoek via een officieel gecertificeerd account kwam, leek het afkomstig van een legitieme instantie.
Italiaanse media brachten het getroffen account in verband met de prefectuur van Reggio Calabria. Die instantie ontkende later zelf verzoeken om klantgegevens naar Revolut te hebben gestuurd. Revolut maakt vanwege het lopende politieonderzoek niet bekend welke overheidsinstantie precies bij de zaak betrokken is.
Revolut zegt dat eigen systemen veilig bleven
Volgens Revolut drongen de aanvallers niet binnen in de systemen of databases van het bedrijf. Het incident lijkt daarmee vooral te draaien om misbruik van een externe, vertrouwde partij.
Revolut meldde de zaak na ontdekking bij de Italiaanse autoriteiten en werkt mee aan het onderzoek. Het bedrijf stelt ook dat het geld van klanten niet in gevaar is geweest.
Hoeveel klanten door het datalek zijn getroffen, is nog niet duidelijk. Ook is nog niet volledig bekend welke persoonlijke informatie de aanvallers konden verkrijgen.
Wat is een PEC-account?
PEC staat voor Posta Elettronica Certificata. Het systeem registreert de verzending en ontvangst van e-mails en geeft deze berichten in Italië een juridische status die vergelijkbaar is met aangetekende post.
Die certificering zegt echter niets over de betrouwbaarheid van de persoon die op dat moment toegang heeft tot het account.
De Italiaanse cybersecurityorganisatie CERT-AGID waarschuwde daar eerder voor. Een PEC-systeem kan bevestigen dat een bericht via een gecertificeerd account is verstuurd, maar garandeert niet dat de inhoud veilig of betrouwbaar is.
Dat verschil maakt een gehackt PEC-account aantrekkelijk voor criminelen. Een frauduleus verzoek kan voor de ontvanger namelijk sterk lijken op officiële communicatie.
Meer dan 650 incidenten in 2026
Het incident bij Revolut staat niet op zichzelf. CERT-AGID meldde in juni dat het sinds begin 2026 al meer dan 650 gevallen had behandeld waarbij criminelen PEC-accounts misbruikten of illegaal gebruikten.
Dat onderstreept een breder beveiligingsrisico voor banken, cryptoplatforms en andere financiële bedrijven. Criminelen hoeven niet altijd rechtstreeks de beveiliging van een bedrijf te doorbreken. Toegang tot het account van een vertrouwde externe organisatie kan soms genoeg zijn om gevoelige informatie te bemachtigen.
Voor financiële dienstverleners betekent dit dat ook officiële verzoeken zorgvuldig gecontroleerd moeten worden.
Waarom dit belangrijk is voor crypto-investeerders
Revolut biedt naast bank- en betaaldiensten ook mogelijkheden om crypto te kopen en verkopen. Het incident is daarom relevant voor gebruikers die het platform voor hun cryptobeleggingen gebruiken.
Hoewel Revolut zegt dat klanttegoeden veilig zijn gebleven, kunnen gestolen persoonsgegevens later voor andere vormen van fraude worden ingezet. Denk bijvoorbeeld aan gerichte phishing, waarbij criminelen informatie over een slachtoffer gebruiken om een bericht geloofwaardiger te maken.
Het incident laat daarmee zien dat digitale veiligheid niet alleen draait om de beveiliging van een exchange, wallet of financiële app. Ook externe partijen die toegang tot klantinformatie kunnen aanvragen vormen een mogelijk risico.
Conclusie
De Italiaanse politie onderzoekt hoe criminelen via een gehackt overheidsaccount gegevens van Revolut-klanten konden opvragen. Revolut zegt dat zijn eigen systemen niet zijn gehackt en dat klanttegoeden veilig zijn gebleven.
De zaak maakt vooral duidelijk hoe waardevol toegang tot een betrouwbaar communicatiekanaal kan zijn voor criminelen. Met meer dan 650 gemelde incidenten rond Italiaanse PEC-accounts in 2026 gaat het bovendien om een breder probleem dan alleen Revolut.
Veelgestelde vragen over het Revolut-datalek
Is Revolut zelf gehackt?
Volgens Revolut niet. De aanvallers zouden een gecompromitteerd e-mailaccount van een Italiaanse overheidsinstantie hebben gebruikt. De interne systemen en databases van Revolut bleven volgens het bedrijf veilig.
Zijn cryptotegoeden of andere klanttegoeden gestolen?
Revolut zegt dat klanttegoeden niet zijn getroffen. Het onderzoek richt zich op klantgegevens die mogelijk via frauduleuze informatieverzoeken zijn verkregen.
Wat is het risico voor getroffen klanten?
Het exacte risico hangt af van welke gegevens zijn buitgemaakt. Persoonlijke informatie kan bijvoorbeeld worden gebruikt voor gerichte phishing of andere vormen van identiteitsfraude. Het is nog niet bekend hoeveel klanten zijn getroffen en welke gegevens precies zijn gedeeld.
