Revolut ha confirmado una filtración de datos después de que información de varios clientes fuera entregada a un ciberdelincuente que se hizo pasar por un organismo público. La compañía asegura que el número de afectados es “muy limitado”, aunque no ha concretado cuántas personas están implicadas.
El incidente no se produjo, según la información facilitada, mediante una intrusión directa en los sistemas internos de Revolut. El atacante habría enviado por correo electrónico una solicitud de información que aparentaba proceder de una agencia gubernamental legítima y utilizó para ello el propio dominio oficial de esa institución.
Revolut explica que la comunicación contaba con credenciales válidas de autenticación del dominio, lo que llevó a la compañía a considerar que se trataba de una petición auténtica y a facilitar los datos solicitados.
El caso resulta especialmente relevante porque muestra cómo un atacante puede conseguir información muy sensible sin necesidad de vulnerar directamente la infraestructura de una entidad financiera.
Pasaportes, selfies e historial de transacciones entre los datos expuestos
La información entregada a los atacantes incluye numerosos datos personales de los clientes afectados.
Entre ellos se encuentran nombre completo, fecha de nacimiento, profesión, dirección postal, correo electrónico y número de teléfono.
También se vieron comprometidos datos utilizados durante los procesos de identificación y verificación de clientes, como copias de documentos de identidad, pasaportes o permisos de conducir, además de las imágenes faciales utilizadas para completar los controles KYC al abrir una cuenta.
La exposición no se limitó a información identificativa.
Según Revolut, los ciberdelincuentes también recibieron extractos de cuentas con números IBAN, registros de retiradas de dinero y el historial completo de transacciones, incluidas operaciones relacionadas con Bitcoin.
La combinación de esta información eleva especialmente el riesgo de ataques posteriores de ingeniería social, suplantación de identidad o phishing dirigido, ya que permitiría a un delincuente elaborar comunicaciones mucho más creíbles utilizando datos reales de la víctima.
Revolut asegura que sus sistemas y el dinero de los clientes no se vieron afectados
La fintech afirma que sus sistemas no fueron comprometidos como consecuencia del incidente y que los fondos de sus clientes permanecen intactos.
Tras detectar lo ocurrido, Revolut bloqueó la dirección utilizada y notificó el caso tanto al organismo público cuya identidad había sido suplantada como a las fuerzas de seguridad, autoridades de protección de datos y reguladores financieros.
La compañía opera actualmente en más de 160 países y regiones y presta servicios bancarios, de gestión financiera e inversión a más de 80 millones de clientes, incluidos unos 800.000 clientes empresariales.
Pese a ese volumen, Revolut insiste en que la brecha afecta únicamente a un número muy reducido de usuarios y no ha comunicado públicamente una cifra concreta.
Un ataque dirigido contra clientes con elevados patrimonios
El investigador especializado en fraude con criptomonedas ZachXBT ha señalado que, aunque la cantidad de afectados parece limitada, el ataque habría estado especialmente dirigido contra usuarios con un elevado patrimonio.
Esta hipótesis no ha sido confirmada oficialmente por Revolut, pero apuntaría a una operación seleccionada y no a una extracción indiscriminada de información de millones de cuentas.
La naturaleza de los datos obtenidos también podría resultar especialmente valiosa en este tipo de ataques. Contar simultáneamente con documentos de identidad, imágenes de verificación facial, IBAN e historial financiero proporciona a los delincuentes una base muy completa para intentar nuevas estafas.
Por ello, los clientes afectados deberían extremar las precauciones ante mensajes, llamadas o correos que aparenten proceder de Revolut, bancos, administraciones públicas u otras entidades.
El atacante no necesitó entrar en los sistemas de Revolut
Uno de los elementos más importantes del incidente es precisamente el mecanismo utilizado.
Según la explicación de la compañía, la solicitud llegó desde una cuenta de correo electrónico no autorizada, pero utilizando el dominio oficial de una agencia gubernamental.
Como la comunicación superaba las comprobaciones de autenticación del dominio, Revolut consideró razonablemente que se encontraba ante una petición oficial y entregó la información.
Esto diferencia el incidente de una brecha tradicional en la que un atacante explota una vulnerabilidad o roba credenciales para acceder directamente a bases de datos corporativas.
En este caso, el elemento clave habría sido la suplantación de una solicitud legítima de información.
