Destaca el caso de Revolut, cuyos clientes fueron afectados por un ataque de ingeniería social en el bróker DriveWealth y por una estafa de suplantación gubernamental. Aunque los fondos están seguros, se expusieron datos personales sensibles que podrían facilitar fraudes de identidad y phishing.






Los clientes de Revolut se han visto envueltos en una segunda brecha de datos este mes después de que los atacantes utilizaran ingeniería social para infiltrarse en el bróker estadounidense DriveWealth y robaran información personal histórica.

DriveWealth proporciona servicios de ejecución y liquidación para firmas de inversión y anteriormente mantenía cuentas de corretaje directamente para los clientes de Revolut que operaban con acciones estadounidenses. Afirmó que el acceso no autorizado ocurrió el 4 y 5 de septiembre.

En un correo electrónico enviado a los clientes afectados, el bróker culpó a una "sofisticada campaña de ingeniería social" llevada a cabo por terceros desconocidos.

Los intrusos exfiltraron datos conservados del periodo en que esos clientes tenían cuentas directamente con DriveWealth. El bróker señaló que los requisitos regulatorios le obligaban a mantener los registros.

El botín potencialmente expuesto incluye nombres, direcciones de correo electrónico, números de teléfono, direcciones postales, información laboral, país de ciudadanía, edad, género y números parciales de cuenta de DriveWealth.

DriveWealth afirmó que no tiene motivos para creer que cualquier otra información personal haya sido afectada. Las contraseñas y la información de pago, incluidos los detalles de tarjetas de crédito y cuentas bancarias, no se vieron comprometidas.

Aun así, los detalles expuestos proporcionarían material amplio para un mensaje de phishing convincente. DriveWealth advirtió a los clientes que la información robada podría utilizarse potencialmente para el fraude de identidad, la suplantación, más ingeniería social o contactos no solicitados de desconocidos.

Los clientes de Revolut se encuentran entre los afectados, con registros que datan de su acuerdo anterior con DriveWealth, según confirmó la empresa al Irish Examiner.

Revolut afirmó que sus sistemas e infraestructura no se vieron comprometidos, y que los fondos y las inversiones de los clientes permanecieron seguros. No se expusieron contraseñas, códigos de acceso, detalles de tarjetas ni documentos de identidad de Revolut.

Los datos son un remanente del antiguo acuerdo de Revolut para los clientes que operaban con acciones estadounidenses. La fintech trasladó a los clientes del Reino Unido, el EEE y Australia fuera de ese acuerdo entre diciembre de 2023 y junio de 2025, variando el tiempo según el mercado. Sus datos personales dejaron de compartirse con DriveWealth tras las respectivas migraciones.

DriveWealth contactó directamente con los clientes afectados, mientras que Revolut envió sus propias notificaciones. Ninguna de las dos empresas ha revelado cuántos clientes de Revolut se vieron afectados.

La brecha llega en un momento incómodo para Revolut. El 14 de septiembre, la fintech admitió que había entregado información confidencial de clientes a criminales después de que estos presentaran solicitudes de información fraudulentas utilizando un dominio de correo electrónico perteneciente a una agencia gubernamental legítima.

Ese incidente independiente expuso potencialmente información más sensible, incluyendo pasaportes, licencias de conducir, selfies de verificación, fechas de nacimiento, direcciones, números de teléfono, correos electrónicos y datos financieros y de transacciones.

Revolut dijo en aquel momento que había sido víctima de una "sofisticada estafa de suplantación externa" y que solo un número limitado de clientes se vieron afectados.

Dos incidentes diferentes, dos grupos de atacantes distintos y dos rutas diferentes hacia los datos de los clientes. Para los usuarios de Revolut, septiembre ha proporcionado más notificaciones de brechas de las que cualquiera desearía de su aplicación bancaria. 

Fuente:
TheRegister