Revolut ha desmentido que los ciberdelincuentes que accedieron a datos de unos 680 clientes reclamaran tres millones de dólares (2,61 millones de euros) de rescate, un caso que expone la presión reputacional y regulatoria sobre la gran banca digital.
El desmentido de Revolut: ni contacto ni rescate
La fintech de origen británico sostiene que no ha mantenido conversación alguna con los presuntos responsables del robo de información. Un portavoz de la compañía asegura que no ha recibido ningún tipo de solicitud para el pago de un rescate por la recuperación de los datos, una versión que contrasta con la difundida en las últimas horas.
El rescate exigido ascendía a 3 millones de dólares (2,61 millones de euros) pagaderos en un plazo de 24 horas. El grupo de piratas informáticos, identificado bajo el alias ‘iamnotavillian’, llegó a publicar una página web en la que amenazaba con vender todos los datos si no se cumplía la exigencia.
Revolut rechaza esa secuencia. La compañía asegura que tanto sus sistemas como los fondos de sus clientes no se han visto afectados y que ya ha contactado con el reducido número de personas damnificadas para informarles y ofrecerles apoyo.
Los dos relatos son incompatibles. La firma insiste en que no ha existido demanda económica; los atacantes, en que el pago era la única salida. La evidencia pública disponible se limita, por ahora, a lo publicado por el Financial Times, que dio voz a la reclamación de los hackers sin que ninguna autoridad haya confirmado la cifra.
La discrepancia no está en si hubo robo de datos, sino en si existió un chantaje económico que Revolut niega de forma categórica.
Cómo entraron: suplantación de una agencia italiana
El vector del ataque no fue un fallo de los sistemas de la compañía, sino una operación de ingeniería social. Según la versión de Revolut, un tercero no autorizado utilizó el dominio de correo legítimo de una agencia gubernamental italiana para solicitar información de forma fraudulenta. Es una técnica conocida como phishing o suplantación de identidad, y su eficacia depende de la confianza que inspira el remitente.
La entidad cifró el número de afectados en unas 680 personas, un volumen que puso sobre la mesa el propio Financial Times y que Revolut no ha desmentido. En términos relativos, la cifra es reducida frente a la base total de clientes del neobanco. Aun así, basta para activar los protocolos de notificación.
Revolut bloqueó de inmediato la dirección implicada y activó los avisos preceptivos: a la agencia gubernamental suplantada, a las autoridades competentes, a los reguladores de protección de datos y a los supervisores financieros. Es el protocolo que marca el Reglamento General de Protección de Datos de la Unión Europea cuando se produce una brecha con datos personales.
Qué se juega Revolut más allá de la brecha
El episodio llega en un momento delicado para la compañía, inmersa en la pugna por consolidar su estatus bancario y ampliar su negocio en Europa. Cada incidente de seguridad pesa doble: por el daño reputacional directo y por el escrutinio que despierta en los supervisores. La magnitud del robo, 680 clientes, es modesta, pero el relato público no lo es.
Conviene poner la cifra del rescate en contexto. Tres millones de dólares es una cantidad anecdótica para una entidad valorada en miles de millones, lo que refuerza la tesis de Revolut: no hay incentivo racional para negociar un pago de ese tamaño. Los ataques de chantaje a gran escala suelen buscar cifras mucho mayores o el simple lucro de revender los datos en mercados clandestinos.
El marco regulatorio es el otro frente. La normativa europea contempla sanciones de hasta 20 millones de euros o el 4% de la facturación global anual, la cifra que resulte mayor, por incumplimientos en la protección de datos. En este caso, la compañía sostiene haber notificado en plazo, lo que reduce la exposición si el incidente se resuelve como una suplantación externa y no como un fallo interno de seguridad.
La banca tradicional gestiona estos episodios de forma distinta. Las entidades cotizadas están obligadas a informar a los mercados de cualquier incidente relevante que pueda alterar su cotización; Revolut, al no cotizar en bolsa, responde solo ante el RGPD y la supervisión sectorial, sin la presión añadida de los inversores.
El sector financiero lleva años en el punto de mira de los ciberataques. Los neobancos y la banca digital, con operativa íntegramente en línea y una base de clientes joven, concentran un interés creciente para los grupos criminales. Competidores europeos como N26 o Monzo se mueven bajo la la misma presión regulatoria, y cualquier brecha obliga a revisar los protocolos de acceso.
Lo que está en juego para Revolut no es el dinero del rescate, sino la confianza. En un negocio donde el cliente deposita su nómina y sus ahorros, la percepción de seguridad es parte del producto. La respuesta rápida, con bloqueo inmediato y notificación a los afectados, juega a favor. La incógnita es si el episodio queda como un caso aislado de suplantación o como el primer capítulo de un problema mayor.
📊 Las Claves para el Inversor
- Qué vigilar: La confirmación oficial del alcance real de la brecha y si los reguladores europeos abren un expediente formal contra Revolut por la gestión del incidente.
- Reacción del valor: Revolut no cotiza en bolsa, así que el impacto no se mide en una cotización diaria, sino en su reputación y en la valoración de futuras rondas de financiación.
- Precedente sectorial: Las brechas de datos en la banca digital suelen saldarse con sanciones moderadas cuando la entidad notifica en plazo y acredita que hubo suplantación externa.
