Un actor de amenazas ha puesto supuestamente a la venta una base de datos con información atribuida a Revolut, uno de los principales servicios financieros digitales del mundo. El anuncio sostiene que el conjunto contiene alrededor de 75 millones de registros, aunque ni el origen ni la autenticidad de los datos han podido confirmarse de manera independiente.
La información comenzó a circular en redes sociales y foros especializados después de que una cuenta de inteligencia de amenazas alertara sobre la publicación. Aunque algunas informaciones iniciales mencionaban 757 millones de usuarios, las investigaciones posteriores sitúan la reclamación en aproximadamente 75 millones de registros, una cifra similar al número de clientes que Revolut afirma tener en todo el mundo.
Por el momento, la compañía asegura que no ha encontrado indicios que apunten a una brecha en sus sistemas. Por tanto, el caso debe tratarse como una reclamación no verificada y no como un ciberataque confirmado.
Qué datos contendría la supuesta filtración de Revolut
Según el anuncio publicado en el foro de ciberdelincuencia, el paquete ofrecido contendría información de clientes, cuentas, dispositivos y tarjetas de pago. Los investigadores que analizaron una muestra encontraron nombres, correos electrónicos, números de teléfono, direcciones postales, detalles parciales de tarjetas, datos de dispositivos y credenciales almacenadas mediante funciones hash.
Sin embargo, todavía se desconoce si los registros proceden realmente de los sistemas de Revolut. Tampoco está claro si todos corresponden a usuarios únicos, si existen duplicados o si el conjunto combina información obtenida de fuentes diferentes.
Los registros más recientes de las muestras analizadas parecen remontarse aproximadamente a mayo de 2025. Los investigadores tampoco encontraron inicialmente una relación clara con filtraciones de Revolut conocidas con anterioridad.
Este punto resulta especialmente relevante. Los actores criminales suelen reutilizar bases de datos antiguas, combinar filtraciones de distintos servicios o añadir información obtenida mediante scraping para aumentar artificialmente el tamaño y el valor aparente de sus anuncios.
Revolut no detecta indicios de un acceso no autorizado
Hasta el momento de redactar esta información, Revolut no ha confirmado que sus sistemas hayan sido comprometidos. La compañía habría indicado que no observa señales de una brecha relacionada con la base de datos anunciada.
La ausencia de confirmación no demuestra que los datos sean falsos, pero impide atribuirlos directamente a un ataque contra la infraestructura de la fintech. Para validar una filtración de estas características sería necesario examinar muestras controladas, comprobar la vigencia de los registros y localizar identificadores internos que solo pudieran proceder de Revolut.
También habría que descartar que la información se haya obtenido mediante ataques contra terceros, dispositivos infectados, campañas de phishing o recopilación de datos públicos.
Phishing y robo de cuentas, los principales riesgos
En caso de que una parte de la información fuese auténtica, los usuarios podrían quedar expuestos a campañas de phishing dirigido, intentos de suplantación de identidad y ataques para tomar el control de sus cuentas.
Los delincuentes pueden combinar nombres, teléfonos, correos electrónicos y detalles bancarios para construir mensajes mucho más creíbles. Una víctima podría recibir una falsa alerta sobre un pago rechazado, una supuesta verificación de identidad o un aviso de seguridad que aparentase proceder del soporte de Revolut.
La información sobre dispositivos también podría utilizarse para adaptar los engaños al sistema operativo o al modelo de teléfono empleado por la víctima. Las credenciales, incluso cuando están protegidas mediante hash, podrían someterse a técnicas de descifrado si las contraseñas son débiles.
Si los datos incluyeran información válida de tarjetas, también podrían producirse intentos de comprobación mediante pequeños pagos o transacciones fraudulentas. No obstante, todavía no se ha confirmado si la muestra contiene números completos, fechas de caducidad, códigos CVV o únicamente información parcial y tokenizada.
