Revolut expone actividad de Bitcoin y pasaportes tras caer en solicitud gubernamental falsa

El banco digital entregó datos sensibles de clientes incluyendo pasaportes, selfies, direcciones de domicilio y detalles de transacciones de Bitcoin tras tratar una solicitud gubernamental fraudulenta como legítima, aunque no se robaron fondos.

Revolut, el banco digital con sede en Londres con más de 40 millones de usuarios a nivel mundial, ha confirmado una importante filtración de datos tras ser víctima de un sofisticado ataque de ingeniería social. La compañía procesó erróneamente lo que parecía ser una solicitud gubernamental legítima de datos, entregando información altamente sensible de clientes a estafadores que se hacían pasar por funcionarios de las fuerzas del orden.

Los datos expuestos incluyen copias de pasaportes, fotos de verificación selfie, direcciones de domicilio y, críticamente para los usuarios de criptomonedas, registros detallados de actividad de Bitcoin en la plataforma. La filtración afecta a un número no divulgado de clientes, aunque Revolut ha enfatizado que no se comprometieron ni robaron fondos de clientes durante el incidente. La compañía detectó la solicitud fraudulenta después de que los datos ya habían sido transmitidos.

Esta filtración resalta una vulnerabilidad creciente en el ecosistema cripto y fintech: la explotación de procesos legales de solicitud de datos. Las instituciones financieras están legalmente obligadas a responder a solicitudes gubernamentales y de las fuerzas del orden, creando un vector potencial de ataque cuando los criminales se hacen pasar exitosamente por autoridades. La inclusión de datos de transacciones de Bitcoin es particularmente preocupante, ya que podría permitir campañas dirigidas de phishing o amenazas de seguridad física contra clientes que se sabe tienen criptomonedas.

Revolut no ha revelado el mecanismo específico usado por los atacantes para autenticar su solicitud falsa, ni la jurisdicción que afirmaban representar. Los expertos de la industria sugieren que los atacantes probablemente falsificaron membrete oficial, usaron direcciones de correo electrónico gubernamentales comprometidas o explotaron brechas en los procedimientos de verificación que los bancos usan para autenticar solicitudes de las fuerzas del orden. La sofisticación requerida sugiere una operación criminal organizada en lugar de hackers oportunistas.

Para los clientes afectados, la exposición de datos de pasaporte combinada con actividad de criptomonedas crea múltiples riesgos. El robo de identidad se vuelve más fácil con documentos de identidad verificados, mientras que el conocimiento de tenencias de Bitcoin hace a las personas objetivos de ataques de intercambio de SIM, intentos de phishing o incluso amenazas físicas. Los investigadores de seguridad recomiendan a los usuarios afectados habilitar capas adicionales de autenticación, monitorear informes de crédito y considerar cambiar direcciones asociadas con tenencias de cripto de alto valor.

El incidente llega en un momento sensible para Revolut, que ha estado buscando licencias bancarias en múltiples jurisdicciones y enfrenta un mayor escrutinio regulatorio sobre su rápido crecimiento y prácticas de cumplimiento. La compañía procesa miles de millones en transacciones cripto anualmente y se posiciona como un puente entre la banca tradicional y los activos digitales. Esta filtración puede incitar a los reguladores a examinar cómo las empresas fintech verifican y responden a solicitudes gubernamentales de datos.

Revolut declaró que ha reportado el incidente a las autoridades relevantes de protección de datos y agencias de aplicación de la ley, y está implementando pasos adicionales de verificación para futuras solicitudes gubernamentales. La compañía está notificando directamente a los clientes afectados y ofreciendo servicios de monitoreo de crédito. Los observadores de la industria señalan que ataques similares de ingeniería social dirigidos al proceso de solicitud de datos han afectado a otras instituciones financieras, sugiriendo que esto puede representar un vector de amenaza emergente en todo el sector en lugar de un incidente aislado en una sola compañía.