Revolut entregó datos de clientes a estafadores que usaron un dominio público real

Revolut ha confirmado que entregó información sensible de clientes a delincuentes que la pidieron desde lo que parecía una dirección de correo gubernamental. Y la usaron porque la dirección era auténtica. La compañía sostiene que sus sistemas no se tocaron y que el dinero de los clientes sigue donde estaba.

Un portavoz resumió el episodio como "una estafa sofisticada de suplantación externa en la que un tercero no autorizado utilizó un dominio legítimo de una agencia gubernamental para presentar solicitudes fraudulentas de información". La frase da por zanjada la parte técnica. El problema es lo que salió por la puerta.

Qué se entregó

Fechas de nacimiento, direcciones postales, correos electrónicos y teléfonos, más documentos de identidad: pasaportes y permisos de conducir. Según lo publicado, también podrían haber salido selfies de verificación, extractos de cuenta e historiales de transacciones. Es casi todo lo que hace falta para hacerse pasar por alguien en otro sitio, y a diferencia de una contraseña no se puede cambiar.

Los bancos reciben requerimientos de policías y agencias públicas como trámite rutinario, a veces con urgencia, y su personal está entrenado para tratarlos como legítimos. Quien puede enviar correo desde un dominio oficial de verdad se salta todos los controles que un membrete falsificado no superaría. Es un punto débil conocido del circuito con el que las autoridades piden datos, y funciona porque la alternativa —tratar cada petición oficial como sospechosa— tampoco es algo que un banco quiera que le pillen haciendo.

Revolut dice que bloqueó la dirección cuando entendió lo que estaba pasando, avisó a los clientes implicados, alertó a la agencia cuyo dominio se había usado y contactó con las fuerzas de seguridad y con los reguladores financieros. No aclara cuánta gente resulta afectada más allá de "limitado", ni qué mercados, ni qué agencia, ni cómo consiguieron los atacantes el acceso a ese dominio, ni cuánto tiempo estuvieron entrando peticiones antes de que alguien lo notara, ni si la agencia estaba comprometida. El caso salió a la luz por el investigador de cripto ZachXBT, que publicó que había apuntado a personas de alto patrimonio. Esa caracterización no está verificada de forma independiente, aunque encaja mal con lo que la empresa lleva tiempo construyendo.

Escala y plazos

Revolut lanzó un banco privado con un umbral de entrada de 500.000 libras, dirigido justo a ese perfil, dentro de un camino hacia una salida a bolsa valorada en 200.000 millones de dólares. La compañía alcanzó este año una valoración de 115.000 millones, tiene licencias bancarias en Reino Unido y Francia y sitúa su IPO a dos años vista. El Banco Central Europeo ya le pidió una vez que frenara el ritmo de lanzamientos de producto.

Hay además un reloj corriendo en el papeleo. La normativa europea de protección de datos da 72 horas desde que una empresa conoce una brecha de datos personales para notificarlo a su autoridad de control, y obliga a avisar directamente a los afectados cuando el riesgo para ellos es alto. La empresa dice haber cumplido las dos cosas. Lo que no exige es contárselo a todos los demás, y por eso el relato público del incidente es hoy una frase de portavoz y una publicación de un investigador.

Quien haya recibido el aviso debería tratar el material expuesto como público de forma permanente. El riesgo práctico no es que le vacíen la cuenta, algo que la compañía niega, sino el más lento: documentos de identidad y una selfie verificada son materia prima para abrir crédito en otro sitio o para un acercamiento convincente de alguien que ya sabe tu dirección, tu teléfono y en qué gastas.

Nada de esto exigió romper nada. Ni malware, ni credenciales robadas, ni un exploit. Alguien escribió correos desde una dirección en la que la gente estaba entrenada para confiar y uno de los mayores bancos de Europa respondió. Es la parte incómoda, y no la arregla Revolut en solitario: la confianza que se explotó es de los gobiernos, no de los bancos.