La fintech entregó información sensible después de recibir peticiones fraudulentas enviadas desde el dominio legítimo de una agencia gubernamental. Revolut asegura que sus sistemas y el dinero de sus clientes no fueron comprometidos.
Una sofisticada suplantación de identidad ha conseguido superar los controles de Revolut y provocar la exposición de información personal de algunos de sus clientes.
La compañía ha confirmado que entregó datos sensibles a un tercero no autorizado después de recibir solicitudes fraudulentas de información enviadas desde una dirección perteneciente al dominio legítimo de una agencia gubernamental.
El incidente resulta especialmente delicado porque no se produjo, según Revolut, mediante una intrusión directa en sus sistemas bancarios. Los atacantes consiguieron que unas peticiones aparentemente oficiales fueran consideradas legítimas.
Pasaportes, direcciones y movimientos bancarios entre los datos expuestos
La información comprometida puede ser especialmente sensible.
Según la notificación enviada por Revolut a los clientes afectados, la filtración incluyó datos de identidad y contacto, entre ellos fecha de nacimiento, dirección postal, correo electrónico y número de teléfono.
También quedaron expuestas copias de documentos de identidad, incluidos pasaportes y permisos de conducir. En determinados casos, la información podría haber incluido además selfies de verificación, extractos de cuenta e historiales de transacciones.
Revolut sostiene que el número de clientes afectados es «limitado», pero no ha revelado la cifra exacta.
Tampoco ha identificado públicamente qué organismo gubernamental fue suplantado ni ha aclarado si los afectados se concentran en un único país.
El ataque utilizó un dominio gubernamental legítimo
Este es el elemento más preocupante del incidente.
Según la explicación proporcionada por Revolut, un tercero no autorizado utilizó una dirección de correo perteneciente al dominio legítimo de una agencia gubernamental para enviar solicitudes fraudulentas de información.
La compañía define lo sucedido como una «sofisticada estafa externa de suplantación».
Esto diferencia el caso de un phishing convencional enviado desde una dirección fácilmente identificable como falsa. Una comunicación procedente de infraestructura aparentemente oficial puede resultar considerablemente más difícil de detectar.
Una vez descubierto el fraude, Revolut asegura haber bloqueado la dirección utilizada y avisado al organismo gubernamental afectado, a las fuerzas de seguridad y a los reguladores correspondientes.
Revolut asegura que el dinero de los clientes está a salvo
La fintech insiste en un punto fundamental: sus sistemas internos y los fondos de sus clientes no fueron comprometidos.
No hay, por tanto, indicios publicados de que los atacantes consiguieran acceder directamente a las cuentas bancarias o penetrar en la infraestructura tecnológica de Revolut.
El problema reside en la información que la propia compañía proporcionó creyendo aparentemente que estaba respondiendo a solicitudes oficiales legítimas.
Esto convierte el incidente en un ejemplo de cómo los atacantes pueden intentar explotar los procedimientos de confianza entre empresas y organismos públicos sin necesidad de vulnerar directamente la seguridad informática de una entidad financiera.
Revolut no revela cuántos clientes han sido afectados
La compañía cuenta con más de 80 millones de clientes en todo el mundo y opera como banco en más de 30 países, según los datos corporativos recogidos por TechCrunch.
Por ahora, Revolut solamente afirma haber contactado directamente con el grupo afectado.
El investigador de seguridad especializado en criptomonedas ZachXBT señaló que el incidente parecía haberse dirigido a clientes con un elevado patrimonio. Esa interpretación procede del investigador y no ha sido confirmada públicamente por Revolut.
La exposición de documentos de identidad, información de contacto y potenciales movimientos financieros resulta particularmente sensible porque esos datos podrían utilizarse posteriormente para suplantaciones de identidad o campañas de fraude dirigidas.
Un fallo de confianza, no un hackeo convencional
El caso de Revolut pone sobre la mesa una amenaza diferente de los grandes ataques informáticos tradicionales.
Los bancos y plataformas financieras reciben solicitudes legítimas de información procedentes de autoridades y organismos públicos. Los delincuentes parecen haber atacado precisamente ese mecanismo de confianza.
La incógnita más importante es ahora conocer cómo consiguió el tercero no autorizado utilizar una dirección dentro de un dominio gubernamental legítimo y qué controles aplicó Revolut antes de entregar los datos.
La compañía no ha ofrecido públicamente esos detalles.
Lo confirmado hasta el momento es suficientemente relevante: Revolut entregó información sensible de clientes como respuesta a solicitudes fraudulentas que parecían proceder de una agencia gubernamental real.
No fue necesario vaciar cuentas ni penetrar directamente en los servidores del banco. Bastó con conseguir que una petición falsa pareciera auténtica.
Chollones
Chollones
Chollones