El gigante fintech Revolut confirma la exposición de datos personales y financieros de sus usuarios
Revolut, una de las plataformas de banca digital más grandes del mundo con más de 80 millones de usuarios, ha comenzado a notificar a un subconjunto de sus clientes sobre una brecha de seguridad significativa. El incidente, descrito como un ataque de suplantación de identidad altamente sofisticado, resultó en el acceso no autorizado a información personal identificable (PII) y detalles financieros críticos.
El método: Ingeniería social y suplantación gubernamental
A diferencia de los ataques tradicionales basados en vulnerabilidades de software, este incidente se originó a través de una técnica de ingeniería social avanzada. Un tercero no autorizado utilizó un dominio de correo electrónico que aparentaba pertenecer a una agencia gubernamental legítima para enviar solicitudes fraudulentas de información.
Dado que las instituciones financieras tienen la obligación legal de cooperar con las fuerzas del orden y las agencias reguladoras, la solicitud fue tratada inicialmente como una comunicación auténtica. Este tipo de ataques subraya la importancia de contar con protocolos de verificación de identidad robustos, incluso cuando las comunicaciones parecen provenir de fuentes oficiales.
¿Qué información se ha visto comprometida?
Según la comunicación enviada por Revolut a los afectados, la filtración incluye una cantidad alarmante de datos sensibles que podrían ser utilizados para el robo de identidad y fraudes financieros posteriores:
- Datos Personales: Nombres completos, direcciones, números de teléfono, correos electrónicos y fechas de nacimiento.
- Documentación Oficial: Copias de licencias de conducir, pasaportes y fotografías de verificación (selfies).
- Información Financiera: Números IBAN, estados de cuenta, registros de retiros e historial completo de transacciones (incluyendo operaciones con Bitcoin).
A pesar de la gravedad de la filtración, Revolut ha asegurado que sus sistemas centrales y los fondos de los clientes no se han visto afectados, y que la brecha solo impactó a un número limitado de usuarios, aunque la cifra exacta no ha sido revelada.
Análisis de ciberseguridad para el sector empresarial
Este incidente deja lecciones valiosas para cualquier organización que maneje datos de terceros:
- Verificación de solicitudes externas: No basta con que un correo provenga de un dominio aparentemente legítimo. Las empresas deben implementar canales secundarios de verificación para solicitudes de datos sensibles.
- Capacitación en Ingeniería Social: El factor humano sigue siendo el eslabón más débil. La formación continua del personal encargado de la gestión de datos es fundamental para identificar intentos de suplantación.
- Cumplimiento y Privacidad: La rapidez en la respuesta y la notificación a las autoridades (agencias de protección de datos y reguladores financieros) es clave para mitigar las consecuencias legales y reputacionales bajo marcos normativos como el RGPD.
Desde Intedya, recordamos que la seguridad de la información no es solo un reto técnico, sino una cultura organizacional que debe integrar procesos de auditoría constantes y protocolos de respuesta ante incidentes para proteger el activo más valioso de cualquier empresa: la confianza de sus clientes.
Fuentes
- SecurityWeek — Personal, Financial Info Exposed in Revolut Data Breach
https://www.securityweek.com/personal-financial-info-exposed-in-revolut-data-breach/