La fintech británica Revolut ha confirmado una filtración de datos en la que un tercero no autorizado obtuvo registros confidenciales de clientes. El ataque no se realizó mediante una intrusión técnica en la aplicación o la infraestructura bancaria, sino a través de solicitudes de información fraudulentas enviadas desde una dirección de correo electrónico que utilizaba el dominio de una agencia gubernamental legítima.

La fintech británica Revolut ha confirmado una filtración de datos en la que un tercero no autorizado obtuvo registros confidenciales de clientes mediante el envío de solicitudes de información fraudulentas a través de una dirección de correo electrónico que utilizaba el dominio de una agencia gubernamental legítima.

A diferencia de una intrusión convencional, el atacante no tuvo que explotar la aplicación de Revolut ni penetrar en su infraestructura bancaria central. En su lugar, la operación abusó de la confianza en una comunicación gubernamental aparentemente auténtica, provocando que los datos de los clientes fueran liberados a través de un proceso de divulgación establecido.

Según la notificación de Revolut a los clientes afectados, la solicitud se originó desde una cuenta de correo electrónico no autorizada que operaba directamente bajo el dominio oficial de una agencia gubernamental no revelada.

El mensaje contenía credenciales de autenticación de dominio válidas, por lo que Revolut lo gestionó bajo la creencia razonable de que representaba una solicitud gubernamental genuina. La empresa ha calificado el incidente como una “estafa de suplantación externa sofisticada” y afirma que sus sistemas y los fondos de los clientes no se vieron afectados.

Esta distinción es técnicamente importante. El SPF autoriza a los servidores a enviar correos en nombre de un dominio, el DKIM aplica una firma criptográfica y el DMARC indica a los sistemas receptores cómo tratar los mensajes que fallen esas comprobaciones.

Estos controles pueden establecer que un correo electrónico pasó por una infraestructura autorizada por un dominio, pero no prueban que la persona que utiliza un buzón autorizado sea legítima o que la solicitud en sí sea legal. Si un atacante comprometiera o obtuviera indebidamente el acceso a una cuenta real de una agencia, lo esperado sería que la autenticación del dominio fuera exitosa y no anómala.

El aviso a los clientes afectados muestra que los registros divulgados podrían abarcar casi todas las categorías principales de datos de Conoce a tu Cliente (KYC). Los detalles de identidad incluyeron nombres completos, fechas de nacimiento y profesiones, mientras que la información de contacto incluyó direcciones postales, direcciones de correo electrónico y números de teléfono.

El material de verificación y los documentos incluyeron copias de pasaportes o licencias de conducir y la imagen facial enviada durante el registro. Revolut declaró que la telemetría facial biométrica no estuvo involucrada ni fue comprometida.

La información financiera pudo haber incluido extractos de cuenta con IBAN, estado de la cuenta, fechas de apertura y números de referencia de cartera, junto con registros de retiros e historiales completos de transacciones, incluida la actividad de Bitcoin. TechCrunch informó por separado que los datos pudieron haber incluido selfies de verificación, extractos de cuenta e historiales de transacciones. Esta combinación es particularmente sensible porque puede conectar una identidad verificada y una dirección particular con el comportamiento bancario, identificadores de cuenta y tenencias de criptomonedas.

Revolut dice que solo un número “limitado” de clientes se vieron afectados y que contactó a esas personas directamente. La empresa no ha revelado el número de personas implicadas, la agencia gubernamental cuyo dominio fue abusado, si el incidente se restringió a un solo país, cuántas solicitudes fraudulentas tuvieron éxito o cuánto tiempo continuó la actividad.

147 GB de datos expuestos

El investigador de criptomonedas ZachXBT, quien hizo pública la notificación a los clientes, evaluó que la operación parecía dirigirse a usuarios de alto patrimonio neto. Por separado, International Cyber Digest informó sobre afirmaciones de un actor de amenazas que utiliza el nombre “IAmNotAVillain”, quien alegó que múltiples departamentos de seguridad italianos habían sido comprometidos y que la operación de Revolut duró seis meses.

El actor también afirmó poseer 147 GB de material proveniente de Italia. Estas alegaciones no han sido verificadas independientemente y no deben tratarse como hechos confirmados sobre la filtración.

Una captura de pantalla que circula con la marca de agua del presunto actor parece mostrar múltiples archivos llamados “Document Revolut”, correspondencia por correo electrónico utilizando una dirección de correo electrónico certificado italiano y una carpeta extraída que contiene 688 archivos distribuidos en 204 carpetas.

Si bien la imagen es coherente con la alegación general de que los canales formales de seguridad fueron abusados repetidamente, las capturas de pantalla por sí solas no pueden establecer la autenticidad, procedencia, integridad o la identidad del remitente.

Revolut dijo que bloqueó la dirección de correo electrónico tras detectar la estafa y alertó a la agencia gubernamental pertinente, a las fuerzas del orden, a las autoridades de protección de datos y a los reguladores financieros. También contactó directamente con los clientes afectados.

La empresa sigue subrayando que sus sistemas no fueron vulnerados y que los fondos de los clientes permanecen intactos, pero esa seguridad no elimina el riesgo posterior creado por la divulgación de documentos de identidad permanentes y registros financieros detallados.

Para el sector financiero, el incidente resalta una debilidad estructural en los flujos de trabajo de solicitud de datos gubernamentales: el correo electrónico autenticado debe ser una señal, no el control de autorización final.

Las divulgaciones de alto riesgo deberían requerir una verificación independiente a través de un contacto de la agencia previamente registrado, validación del número de caso, comprobaciones de autorización del solicitante, aprobación dual, detección de anomalías en solicitudes repetidas y registros de auditoría a prueba de manipulaciones. Las organizaciones también deberían aplicar una minimización estricta de datos, liberando solo los registros que sean legalmente necesarios para una solicitud verificada.

Si eres un usuario afectado, debes asumir que los criminales podrían usar el material expuesto para suplantaciones bancarias convincentes, fraude de identidad, phishing dirigido, intentos de SIM-swapping o extorsiones enfocadas en criptomonedas. Cualquier persona que te llame o te envíe un mensaje citando detalles precisos de tu cuenta debe seguir siendo tratada como no confiable.

Debes verificar la comunicación únicamente a través de la aplicación oficial de Revolut, reforzar la seguridad de tu correo electrónico y de tu cuenta móvil, supervisar tus extractos e informes crediticios, y reportar rápidamente cualquier transacción sospechosa o uso indebido de tu identidad.

La lección central es que esto no fue simplemente un intento de suplantación de correo electrónico (spoofing). Basándose en la versión de Revolut, se hizo un mal uso de una infraestructura gubernamental confiable o de una ruta autorizada a través de dicha infraestructura para derrotar una cadena de verificación humana y procedimental.

Hasta que los investigadores identifiquen la agencia comprometida, confirmen la duración y revelen el recuento total de víctimas, las preguntas más importantes sobre la escala y la responsabilidad permanecerán sin respuesta en las próximas semanas.