Revolut envió información personal y financiera de varios clientes a un tercero no autorizado después de recibir una solicitud que aparentaba proceder legítimamente de una autoridad gubernamental.
La información procede de una notificación de seguridad enviada por Revolut a las personas afectadas y difundida públicamente el 12 de septiembre. La compañía todavía no ha comunicado cuántos clientes están incluidos en el incidente ni ha identificado al organismo gubernamental cuyo dominio fue utilizado.
La petición procedía del dominio real de una autoridad
El atacante habría conseguido crear o controlar una cuenta de correo electrónico dentro de la infraestructura de una autoridad gubernamental. Desde esa dirección remitió a Revolut una solicitud de información presentada como una petición oficial.
Según el aviso enviado a los clientes, el correo contenía credenciales legítimas de autenticación del dominio. Esto provocó que superara las comprobaciones técnicas utilizadas para detectar la suplantación de direcciones.
Entre los mecanismos superados se encontrarían:
- SPF, que comprueba si el servidor está autorizado para enviar mensajes en nombre de un dominio.
- DKIM, que utiliza una firma criptográfica para verificar el origen y la integridad del correo.
- DMARC, que combina las comprobaciones anteriores y establece cómo deben tratarse los mensajes sospechosos.
Estas validaciones hicieron que la petición pareciera auténtica. Revolut respondió bajo la creencia de que estaba cumpliendo una solicitud legítima de una autoridad.
No fue necesariamente una intrusión en Revolut
La información disponible no describe un acceso directo a las bases de datos de Revolut, una entrada no autorizada en las cuentas de sus clientes ni el compromiso de la infraestructura interna de la compañía.
El incidente habría ocurrido mediante un procedimiento de ingeniería social dirigido contra el proceso utilizado para atender solicitudes gubernamentales.
El atacante no necesitó vulnerar directamente los sistemas del banco. Le habría bastado con presentar una petición suficientemente convincente desde una dirección que pertenecía al dominio real de un organismo público.
Por este motivo, resulta más preciso describir el caso como una divulgación de datos provocada por una petición gubernamental fraudulenta y no como un ataque que penetró en los servidores de Revolut.
Pasaportes, selfies e información financiera expuesta
Las categorías de información entregadas dependen de cada persona afectada. Los datos podrían incluir:
- Nombres y apellidos.
- Fechas de nacimiento.
- Profesiones y direcciones postales.
- Direcciones de correo electrónico.
- Números de teléfono.
- Copias de pasaportes o permisos de conducir.
- Selfies empleadas durante la verificación de identidad.
- Extractos de las cuentas.
- Números IBAN.
- Registros de retiradas.
- Historiales de transacciones.
- Información sobre operaciones con Bitcoin.
Revolut habría aclarado que las imágenes utilizadas para comprobar la identidad sí podían estar incluidas, pero no los datos biométricos derivados del análisis facial.
Hasta el momento tampoco se ha informado del acceso a contraseñas, PIN de tarjetas, claves privadas de criptomonedas o credenciales de inicio de sesión.
El número de afectados continúa sin conocerse
Revolut no ha publicado una cifra oficial de clientes afectados. El investigador de blockchain conocido como ZachXBT considera que el alcance podría ser limitado y que la operación parece haberse dirigido principalmente contra usuarios con grandes patrimonios.
Esta valoración no ha sido confirmada públicamente por Revolut. Tampoco se conoce qué criterio utilizó el atacante para seleccionar a las personas sobre las que solicitó información.
Varios clientes comenzaron a recibir el aviso de seguridad el 11 de septiembre. Entre ellos se encontraba Mark Karpelès, antiguo responsable de la plataforma de intercambio de criptomonedas Mt. Gox, quien publicó fragmentos de la comunicación.
Revolut descubrió el engaño al contactar con el organismo
La compañía habría contactado posteriormente con la autoridad para comprobar la solicitud. Durante esa verificación, descubrió que la dirección utilizada no pertenecía a una persona autorizada para pedir los datos.
Este contacto también habría servido para alertar al organismo de la existencia de una cuenta no autorizada dentro de su dominio.
Tras confirmar el incidente, Revolut afirma que:
- Bloqueó la dirección en sus sistemas internos.
- Notificó lo ocurrido a los reguladores correspondientes.
- Aplicó medidas preventivas a las cuentas afectadas.
- Comenzó a informar directamente a los clientes implicados.
La compañía no ha identificado a la autoridad suplantada ni ha explicado cuándo recibió y respondió a la petición fraudulenta.
Los afectados afrontan un mayor riesgo de suplantación
La combinación de documentos oficiales, datos de contacto, números IBAN y movimientos financieros puede utilizarse para preparar ataques de phishing altamente personalizados.
Un delincuente podría emplear esa información para hacerse pasar por Revolut, otra entidad financiera o una autoridad y convencer al usuario de que una llamada o un mensaje son legítimos.
También existe el riesgo de que los datos sean utilizados durante intentos de recuperación de cuentas, apertura fraudulenta de servicios financieros o suplantación de identidad.
Qué deben hacer los clientes que reciban el aviso
Las personas notificadas deberían extremar la precaución ante correos, mensajes y llamadas que mencionen operaciones reales, datos de identidad o movimientos incluidos en su historial.
- No compartir códigos de acceso, contraseñas ni claves recibidas mediante SMS.
- No aprobar operaciones o inicios de sesión que no se hayan solicitado.
- Contactar con Revolut exclusivamente mediante el chat de la aplicación.
- Comprobar con frecuencia los movimientos de la cuenta.
- Bloquear inmediatamente cualquier tarjeta si aparece una operación desconocida.
- Desconfiar de quien solicite transferir fondos a una supuesta cuenta segura.
Un atacante que conozca el IBAN, la dirección o los datos del pasaporte puede resultar especialmente convincente. La posesión de esta información no demuestra que una llamada o comunicación proceda realmente de Revolut.
Revolut todavía debe aclarar el alcance del incidente
La notificación difundida confirma que se entregó información a un tercero después de recibir una petición presentada como oficial. Sin embargo, todavía faltan datos importantes para determinar el alcance completo.
Se desconoce el número de clientes afectados, el nombre de la autoridad implicada, la fecha exacta de la entrega y si el atacante ha utilizado o difundido posteriormente la información obtenida.
Por ahora, el incidente no apunta a una intrusión directa en los sistemas de Revolut, sino al abuso de una cuenta alojada dentro de un dominio gubernamental real para superar el procedimiento de verificación de solicitudes oficiales.
