Revolut entregó tu pasaporte a estafadores sin que nadie entrara en sus servidores

Revolut no fue hackeada. Nadie vulneró sus cortafuegos ni encontró una brecha en su código. En su lugar, un atacante se hizo pasar por una autoridad gubernamental utilizando una dirección de correo electrónico con un dominio oficial legítimo, presentó una solicitud de acceso a datos que los controles de verificación de Revolut aceptaron como auténtica, y se marchó con documentos de identidad completos, copias de pasaportes, selfies de registro y el historial completo de cuentas de los usuarios afectados, incluyendo cada transacción de Bitcoin registrada.

El ataque explotó una obligación legal, no un fallo de software. Las plataformas financieras están obligadas por ley a responder a solicitudes oficiales de datos procedentes de organismos gubernamentales y fuerzas de seguridad. Al falsificar esas solicitudes con la suficiente credibilidad como para superar la revisión de Revolut, el atacante convirtió un proceso de cumplimiento normativo diseñado para proteger al público en el mecanismo de un robo de datos. Revolut afirmó que intentó validar la solicitud de forma independiente ante la autoridad competente, pero la suplantación solo se descubrió después de que los datos ya se hubieran compartido.

Para cualquiera cuya cuenta estuviera incluida, la exposición es más profunda que la de una filtración habitual. Los datos robados vinculan identidades verificadas completas —nombres legales, fechas de nacimiento, domicilios, copias de pasaportes o permisos de conducir, y los selfies presentados durante la verificación de la cuenta— con referencias de carteras de Bitcoin y registros completos de transacciones en cadena. Esa combinación no caduca. Incluso si los usuarios afectados abren nuevas carteras, cualquiera que tenga los datos filtrados puede rastrear sus movimientos anteriores de criptomonedas hasta una identidad real confirmada, de forma permanente.

Revolut declaró que no se vio implicada ninguna telemetría facial biométrica —las plantillas derivadas del sistema utilizadas para la comparación facial automatizada—, solo la fotografía en bruto tomada durante el registro. Los fondos de los clientes no se vieron afectados. La compañía bloqueó la dirección de correo electrónico fraudulenta, notificó a la autoridad gubernamental cuya identidad fue copiada, alertó a las fuerzas de seguridad y presentó las declaraciones regulatorias exigidas. Si los reguladores europeos de protección de datos consideran adecuada esa respuesta es una cuestión abierta: el RGPD impone obligaciones estrictas sobre cómo las empresas gestionan y protegen el tipo de documentos de identidad que fueron sustraídos.

El incidente apunta a una categoría de ataque que la seguridad técnica por sí sola no puede prevenir. Una empresa puede cifrar sus bases de datos, auditar sus API y realizar pruebas de penetración —y aun así ser víctima de ingeniería social a través de los procedimientos que está legalmente obligada a seguir. El problema no es el código de Revolut. Es la cuestión sin resolver de cómo cualquier organización verifica que una solicitud con marcas oficiales realmente procede del funcionario que dice representar.

Revolut notificó directamente a los clientes afectados y no ha revelado el número total de cuentas implicadas ni los mercados concretos donde se produjo la exposición. Para cualquiera que haya recibido una notificación de filtración, tener documentos de identidad en manos de estafadores abre la puerta a un fraude que va mucho más allá de la propia plataforma: uso fraudulento de pasaportes, llamadas de phishing que hacen referencia a datos reales de la cuenta, suplantación de identidad en servicios financieros. Y el registro de Bitcoin es un problema de otra naturaleza: Revolut puede restablecer una contraseña, pero nadie reinicia la cadena de bloques.

Etiquetas: fintech, data breach, Revolut, social engineering