Londra'daki Revolut merkez binasının cam cephesi ve çatı katındaki beyaz Revolut logosu, mavi gökyüzü önünde

Londra merkezli dijital banka Revolut'un Batı Avrupa CEO'su Béatrice Cossa-Dumurgier, 7 Ekim 2026'da Fransız ekonomi kanalı BFM Business'a verdiği röportajda, sahte bir bilgi talebi üzerine verileri hackerlara gönderilen müşteriler kimlik belgelerini değiştirmek zorunda kalırsa masrafı şirketin karşılayacağını söyledi. Reuters'a göre Cossa-Dumurgier, olaydan etkilenen müşteri sayısını 680 olarak açıkladı ve bu müşterilerin 55'inin Fransa'da bulunduğunu belirtti.

Olayda Revolut'un sistemleri hacklenmedi. Şirket, saldırganların ele geçirdiği İtalyan bir devlet kurumuna ait e-posta adresinden gelen sahte bilgi talebine yanıt olarak müşteri verilerini gönderdi. Olay Eylül 2026'da kamuoyuna duyurulmuştu. Cossa-Dumurgier'e göre şirket hackerlara fidye ödemeyecek. Reuters'a göre Revolut daha önce fidye talebi almadığını açıklamıştı.

İtalya İçişleri Bakanı: Talep doğrulanmalıydı

İtalya İçişleri Bakanı Matteo Piantedosi, 30 Eylül 2026'da Temsilciler Meclisi'nde yaptığı konuşmada, Revolut'un 12 Eylül 2026'da İtalya Ulusal Siber Güvenlik Ajansı'na (ACN) olası bir siber olay bildirdiğini aktardı. Piantedosi'ye göre Revolut, 15 Eylül 2026'da olayı doğruladı ve 680 müşterinin verisini gönderdiğini bildirdi. Bakana göre sahte bilgi talebi, İçişleri Bakanlığı'nın kentteki temsilciliği olan Reggio Calabria Valiliği'ne (Prefettura) ait bir PEC kutusundan geldi. PEC, İtalya'da resmî yazışmalarda kullanılan ve hukuki geçerliliği olan kayıtlı e-posta hizmeti. Piantedosi'ye göre talebin geldiği "entilocali" adlı kutu daha önce hiç kullanılmamıştı. Bakan, şirketin talebi asgari bir özenle doğrulayabileceğini ve doğrulaması gerektiğini söyledi. Piantedosi, Revolut'un İngiliz hukukuna bağlı bir şirket olduğu için AB'nin ağ ve bilgi güvenliği kurallarına dayanan İtalyan NIS mevzuatına tabi olmadığını da vurguladı.

Revolut tarafında ise Cossa-Dumurgier, devlet kurumlarının zaman zaman sistemin zayıf halkası olduğunu ve şirketin kendi sistemlerinin ele geçirilmediğini söyledi. Reuters'a göre bir Revolut sözcüsü, bakanın sözleri hakkında yorum yapmayı reddetti.

Soruşturma ve alınan önlemler

İtalya İçişleri Bakanlığı Müsteşarı Wanda Ferro, 18 Eylül 2026'da Temsilciler Meclisi'nde verdiği yanıtta, etkilenen müşterilerden yalnızca sekizinin İtalyan olduğunu söyledi. Ferro'ya göre ACN'nin olay müdahale ekibi CSIRT Italia, PEC adresinin ele geçirildiğini tespit etti. Reggio Calabria Başsavcılığı soruşturma yürütüyor; Ferro'nun aktardığına göre İtalya Adalet Bakanlığı, savcılıkta kamu yararına çalışan bir bilişim sistemine yetkisiz erişim suçundan ceza dosyası açıldığını doğruladı. MilanoFinanza'ya göre saldırganlar ele geçirilen PEC kutusunu kullanırken kendilerini İtalya'da siber suçlarla ilgilenen posta ve iletişim polisi Polizia Postale'den biri olarak tanıttı. Piantedosi, bakanlığın Siber Güvenlik Analiz Komitesi'ni toplantıya çağırdığını söyledi. İtalyan haber ajansı Radiocor'a göre amaç, PEC kutularının sağlandığı Consip sözleşmesi içinde en iyi teknik çözümleri belirleyip hemen uygulamak; Consip, İtalya'da kamu alımlarını yürüten kamu şirketi. Bakan, PEC sağlayıcısı şirkete sözleşmedeki yaptırımların uygulanmasını da dışlamadı.

Neler bilinmiyor

Soruşturma gizli yürütülüyor; PEC kutusunun nasıl ele geçirildiği ve saldırganların kim olduğu açıklanmadı. Fransa ve İtalya dışındaki ülkelerde kaç müşterinin etkilendiği, kaç müşterinin kimlik belgesini değiştirdiği ve bunun Revolut'a maliyeti bilinmiyor. Soruşturma ilerledikçe ve kurumlardan yeni açıklamalar geldikçe haber güncellenecek.

Kaynaklar

Kapak fotoğrafı: Revolut'un Londra merkez binası — Alerove / Wikimedia Commons (CC0); 1200×675 boyutuna kırpıldı.