Revolut ha confirmado una filtración de datos de clientes que incluye pasaportes, selfies de verificación y registros completos de transacciones de Bitcoin. El neobanco admite que entregó esa documentación a un remitente que suplantó a una agencia gubernamental con un dominio de correo auténtico y credenciales válidas.
Qué ha confirmado Revolut sobre la filtración
En declaraciones a BeInCrypto, un portavoz de Revolut describió el episodio como un ataque externo sofisticado. Según la entidad, una tercera persona no autorizada utilizó un correo electrónico legítimo de una agencia gubernamental para enviar solicitudes fraudulentas de información. Revolut insiste en que sus sistemas y los fondos de los clientes no se vieron afectados.
La compañía afirma que ya ha alertado a la agencia suplantada, a la policía y a sus reguladores de protección de datos y financieros. También asegura que contactó con un número limitado de personas afectadas. No ha revelado de qué agencia se trataba, alegando que hay una investigación policial en curso.
Los avisos que recibieron los clientes son más concretos que la versión pública de Revolut. La mayoría de los avisos menciona la entrega de pasaportes, permisos de conducir, domicilios y extractos bancarios, además de la selfie de verificación. También se habrían facilitado registros completos de entradas y salidas de Bitcoin.
Revolut matiza que las plantillas biométricas faciales no quedaron expuestas. Dicho de otro modo: el sistema que convierte una foto en un patrón biométrico no viajó con la filtración, pero la fotografía en sí sí. Para un estafador, un selfie de verificación es una pieza valiosa si quiere cruzar controles de identidad en otras plataformas.
La alerta inicial la publicó el investigador ZachXBT, especializado en rastrear criptoactivos robados a través de la blockchain (el libro mayor público donde quedan registradas las transacciones). Según su análisis, el ataque alcanzó a un grupo reducido de usuarios y parecía orientado a personas con grandes cantidades de dinero.
Un pasaporte no se cambia con un clic: una vez filtrado, el riesgo de suplantación y de phishing puede perseguir al cliente durante años.
¿Están seguras las cuentas y qué riesgos quedan?
Revolut sostiene que las cuentas siguen seguras. No se movió dinero y, según la entidad, las contraseñas, los datos de inicio de sesión y la telemetría facial no quedaron expuestos. El problema es que la información personal filtrada no se puede cambiar como una contraseña.
Con pasaporte, domicilio y un historial de transacciones de bitcoin, un delincuente tiene material suficiente para lanzar ataques de phishing muy personalizados. Este tipo de fraude consiste en suplantar a una empresa o a una persona para obtener más datos o acceso a cuentas. Los mensajes pueden parecer legítimos porque el atacante conoce detalles reales de la víctima.
En episodios anteriores, listas de clientes robadas han alimentado campañas de suplantación y, en los casos más graves, amenazas físicas contra poseedores de criptomonedas. La combinación de identidad, dirección y tenencia de bitcoin resulta especialmente delicada porque permite al estafador elegir muy bien a quién atacar.
La paradoja del KYC: más datos y un eslabón débil
El incidente toca una fibra sensible del sector cripto. El KYC (know your customer, o conoce a tu cliente) obliga a bancos y plataformas a recopilar pasaportes, selfies y extractos para prevenir el blanqueo de capitales. Es una norma razonable para proteger el sistema financiero. No obstante, convierte esas bases de datos en objetivos muy atractivos: cuanto más completa es la información, más valiosa resulta para un atacante.
Lo que hace distinto este caso es que no hubo un fallo técnico clásico. El atacante utilizó un buzón real de una agencia pública, con credenciales válidas, y Revolut aceptó la solicitud como legítima. Esa decisión apunta a una debilidad de procedimiento: se confió en la identidad del remitente sin verificar a fondo la pertinencia de la petición.
Por ahora, la recomendación para cualquier cliente de Revolut pasa por revisar los avisos oficiales, desconfiar de correos que pidan datos adicionales y activar la autenticación en dos pasos si aún no lo ha hecho. La investigación sigue abierta y no se sabe si el buzón gubernamental fue hackeado o si alguien con acceso interno lo utilizó.
La filtración deja una duda de fondo: si un correo oficial con credenciales válidas basta para que una entidad entregue expedientes completos de clientes, el eslabón más débil no es la criptografía. Es la verificación humana de cada solicitud.
