Revolut entregó datos a unos hackers que se hicieron pasar por un organismo público
El banco digital Revolut fue víctima de una sofisticada estafa: unos delincuentes se hicieron pasar por un organismo público y consiguieron que les entregara datos confidenciales de clientes. La empresa contó a TechCrunch que recibió solicitudes falsas desde una dirección de un dominio que parecía pertenecer a una institución pública legítima.
Podría tratarse de la policía, la Agencia Tributaria u otro organismo con competencias legales para exigir información a entidades financieras. No está claro si los delincuentes accedieron a un buzón público real o si solo falsificaron la dirección de forma convincente. En cualquier caso, Revolut no comprobó la solicitud con suficiente rigor.
Según Cybernews, entre los datos comprometidos podrían figurar fechas de nacimiento, direcciones postales y de correo electrónico, teléfonos, profesión y copias de documentos de identidad. TechCrunch informó además de una posible filtración de selfies de verificación, extractos bancarios, IBAN, historial de operaciones, datos sobre retiradas de efectivo y transacciones con Bitcoin. La empresa aún no ha confirmado el alcance exacto de la filtración.
Si se confirma esta información, para Revolut no será una notificación de seguridad más, sino un fallo gravísimo en la protección de la identidad digital. Muhammad Yahya Patel, experto en ciberseguridad, vCISO y asesor de Huntress, afirmó que un conjunto de datos así se convierte, en la práctica, en un kit listo para el robo de identidad. Con él, los delincuentes pueden suplantar a un cliente, abrir cuentas a su nombre y eludir las comprobaciones de otras entidades financieras.
Tras detectar el incidente, Revolut bloqueó la dirección y avisó al organismo público correspondiente, a las fuerzas de seguridad, a las autoridades de protección de datos y a los supervisores financieros. Se desconoce el número exacto de afectados. El banco lo califica de «muy limitado» y asegura que ya ha avisado a todos los clientes afectados.
Según Coin Bureau, los delincuentes empezaron a publicar parte de la información en Telegram para presionar a Revolut y exigir un rescate. El medio mostró capturas de pantalla en las que supuestamente aparecían selfies y el expediente KYC completo de un directivo de un casino de criptomonedas. KYC es el procedimiento de verificación de la identidad del cliente. Al parecer, los hackers exigen 10.000 BTC a cambio de borrar la información. Según la valoración de Bitcoin que figura en el mensaje, son unos 780 millones de dólares: una cifra desorbitada incluso para el mercado criminal.
Patel señaló que una empresa fintech que trabaja con identidades digitales debe comprobar con especial rigor las solicitudes de terceros. La pregunta clave, según él, no es por qué los delincuentes intentaron engañar al banco, sino por qué una entidad financiera regulada no pudo verificar a tiempo la autenticidad de la solicitud. La investigación sigue abierta y todavía hay que confirmar tanto el alcance definitivo del incidente como si se publicaron todos los datos mencionados.
PEREC.RU
El artículo informa de una posible filtración de datos de clientes de Revolut después de que unos delincuentes se hicieran pasar por un organismo público. Enviaron a la empresa solicitudes falsas para obtener información desde una dirección de un dominio asociado a una institución pública legítima. No está claro si piratearon un buzón real o falsificaron la dirección.
Según Cybernews, entre los datos que podrían haberse entregado figuran fechas de nacimiento, direcciones postales y de correo electrónico, profesión, teléfonos y copias de documentos de identidad. TechCrunch añadió que también podrían haberse visto afectados selfies de verificación, extractos bancarios, IBAN, historial de transacciones, registros de retiradas de efectivo y operaciones con Bitcoin. El alcance de la filtración aún no se ha determinado oficialmente.
Revolut declaró que, tras descubrir la estafa, bloqueó la dirección y avisó a la institución pública correspondiente, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. No reveló el número de afectados, que calificó de «muy limitado», y afirmó que ya había avisado a todos los clientes afectados.
Según Coin Bureau, los delincuentes empezaron a publicar información en Telegram para presionar a Revolut y conseguir un rescate. Al parecer, exigen 10.000 BTC a cambio de borrar los datos. Según la valoración citada, son unos 780 millones de dólares. El medio mostró capturas de pantalla de una supuesta publicación de selfies y del expediente KYC completo de un directivo de un casino de criptomonedas. KYC es el procedimiento de verificación de la identidad del cliente.
Muhammad Yahya Patel, experto en ciberseguridad de Huntress, afirmó que la combinación de pasaportes o permisos de conducir, selfies, extractos, historial de operaciones, fechas de nacimiento y direcciones constituye prácticamente un kit listo para el robo de identidad, y no una simple colección de filtraciones independientes. Estos datos pueden utilizarse para suplantar a otra persona, abrir cuentas a su nombre y eludir las comprobaciones de otras entidades financieras.
Patel subrayó que una empresa que trabaja con identidades digitales debe comprobar con especial cuidado las solicitudes de terceros. Por eso, la cuestión clave no es solo qué hicieron los atacantes, sino por qué los procedimientos internos de Revolut no detectaron la solicitud sospechosa. Aun así, siguen pendientes de confirmación el alcance definitivo del incidente, la lista completa de datos afectados y la autenticidad de los materiales publicados.
