Revolut ha revelado un incidente de seguridad en el que se filtró información confidencial de sus clientes. El suceso ocurrió tras recibir una solicitud fraudulenta que simulaba provenir de una agencia gubernamental legítima. Como resultado, se expuso documentación KYC (Know Your Customer) y registros financieros detallados de un número limitado de usuarios, incluyendo copias de pasaportes e historiales completos de transacciones.

Revolut ha revelado un incidente de seguridad de datos en el que se filtró información confidencial de clientes después de que la empresa de tecnología financiera recibiera una solicitud fraudulenta que parecía provenir de una agencia gubernamental legítima.

Según los informes, el incidente expuso documentación Know Your Customer (KYC) altamente sensible y registros financieros detallados pertenecientes a un número limitado de usuarios, incluyendo copias de pasaportes o licencias de conducir, selfies de verificación de identidad, extractos de cuenta e historiales completos de transacciones que incluían actividad relacionada con Bitcoin.

Según la explicación de Revolut, la filtración no fue resultado de una vulneración de sus sistemas centrales, de la aplicación móvil o de las cuentas de los clientes. En su lugar, la empresa afirmó que fue blanco de una sofisticada operación de suplantación de identidad que involucraba una cuenta de correo electrónico no autorizada que operaba bajo el dominio de correo de una agencia gubernamental oficial.

Debido a que el mensaje contaba con credenciales de autenticación de dominio válidas, Revolut creyó que estaba gestionando una solicitud de información legal o gubernamental auténtica y la cumplió.

La respuesta proporcionó información exhaustiva. Incluía los nombres completos de los clientes, fechas de nacimiento, profesiones, direcciones postales, direcciones de correo electrónico y números de teléfono.

Los documentos expuestos y los datos de verificación incluían, según se informa, copias de documentos de identidad, como pasaportes y licencias de conducir, junto con imágenes de verificación facial enviadas durante el proceso de alta.

Revolut destacó que la telemetría facial biométrica no estuvo involucrada ni comprometida, aunque la pérdida de escaneos de documentos y selfies de verificación aún podría crear graves riesgos de robo de identidad y suplantación para las personas afectadas.

Los datos financieros incluían extractos de cuenta con IBAN, información sobre el estado de la cuenta, fechas de apertura de la cuenta, números de referencia de la billetera, registros de retiros e historiales completos de transacciones.

La inclusión de registros de transacciones de criptomonedas, incluida la actividad de Bitcoin, es particularmente sensible porque podría ayudar a los criminales a perfilar la riqueza de las víctimas, su comportamiento de trading, el uso de sus billeteras y su exposición potencial a estafas dirigidas.

Revolut describió el evento como un ataque de ingeniería social sofisticado en lugar de una brecha en su infraestructura interna. La empresa señaló que actuó rápidamente para bloquear la fuente de correo electrónico no autorizada, notificar a las autoridades pertinentes y contactar a los clientes afectados. También sostuvo que los fondos de los clientes permanecieron seguros y que sus sistemas no fueron comprometidos.

Sin embargo, el incidente ha provocado una renovada preocupación sobre las implicaciones de seguridad de la recopilación obligatoria de datos KYC en bancos, plataformas fintech y servicios de criptomonedas. El investigador on-chain ZachXBT y otras figuras de la comunidad de criptomonedas destacaron que la operación se dirigió a usuarios de alto patrimonio, un grupo que enfrenta riesgos elevados de phishing, SIM-swapping, extorsión, amenazas físicas e intentos de robo de criptomonedas altamente personalizados.

Para los clientes de Revolut afectados, la combinación de documentos de identidad, datos de contacto, información de la cuenta e historial de transacciones podría proporcionar a los atacantes el material necesario para construir señuelos de ingeniería social convincentes. Los estafadores podrían suplantar al personal de soporte de Revolut, agencias policiales, exchanges o autoridades fiscales utilizando información personal para que los mensajes parezcan legítimos.

El caso también demuestra cómo se pueden abusar los dominios de correo electrónico confiables cuando un atacante obtiene acceso, o hace mal uso, de la infraestructura de correo de una organización legítima.

Incluso un correo electrónico debidamente autenticado puede ser malicioso cuando la cuenta del remitente no está autorizada. El incidente subraya la necesidad de que las organizaciones que manejan registros confidenciales de clientes validen de forma independiente las solicitudes de información de alto riesgo a través de canales alternativos, en lugar de confiar únicamente en la autenticación del dominio o la identidad del remitente.