Revolut confirma una filtración de datos a través de solicitudes gubernamentales falsas

La fintech británica Revolut confirmó que reveló información sensible de clientes a un tercero no autorizado tras recibir solicitudes fraudulentas enviadas desde el dominio de correo de una agencia gubernamental legítima. Los datos expuestos incluyeron información de identidad y contacto de los clientes (fecha de nacimiento, direcciones postales y de correo electrónico, y números de teléfono), así como copias de documentos de identidad, incluidos pasaportes y licencias de conducir, según una notificación enviada por correo a los clientes afectados y revisada por TechCrunch. Los datos también podrían haber incluido selfies de verificación, estados de cuenta e historiales de transacciones, dijo la empresa en su notificación.

Un portavoz de Revolut confirmó a TechCrunch que un número “limitado” de clientes se vio afectado y dijo que la empresa había contactado directamente a esos clientes, aunque no reveló la cifra exacta, si el incidente se limitó a un mercado específico, ni qué agencia gubernamental estuvo involucrada. “Revolut identificó recientemente una estafa de suplantación externa sofisticada en la que un tercero no autorizado utilizó un correo del dominio de una agencia gubernamental legítima para presentar solicitudes fraudulentas de información”, dijo el portavoz.

Revolut le dijo a TechCrunch que bloqueó la dirección de correo tras descubrir la estafa, y alertó a la agencia gubernamental correspondiente, a las fuerzas del orden y a los reguladores, y agregó que “los sistemas de Revolut y los fondos de los clientes no se vieron afectados”. Revolut, con sede en Londres, tiene más de 80 millones de clientes a nivel global y opera como banco en más de 30 países, según su sitio web; recientemente se ha expandido a mercados como India, México, Francia y los EAU. A principios de este mes, la Oficina del Contralor de la Moneda (OCC) de EE. UU. otorgó una aprobación condicional a Revolut para establecer un banco nacional en el país, que la empresa espera lanzar en la primera mitad de 2027.

El reconocido investigador de seguridad en criptomonedas ZachXBT publicó el viernes por la noche sobre el correo de notificación de Revolut a los clientes afectados, diciendo que el incidente parecía haber apuntado a usuarios de alto patrimonio neto. La filtración ocurre mientras Revolut, según se informa, evalúa una posible salida a bolsa que podría valorarla en hasta USD 200 000 millones, frente a su valoración privada de USD 75 000 millones en noviembre. La fintech también ha estado expandiendo su presencia bancaria en Europa y a nivel global, obteniendo licencias bancarias en Francia y el Reino Unido en los últimos meses.

Por qué importa

Una filtración canalizada a través de un dominio gubernamental suplantado muestra que las fintech que gestionan verificación de identidad siguen expuestas a ataques de ingeniería social incluso cuando sus sistemas centrales y los fondos permanecen seguros, un riesgo que se vuelve más relevante cuanto más se acerca Revolut a una posible salida a bolsa.