La fintech confirmó que entregó información sensible de clientes ante solicitudes fraudulentas enviadas desde un dominio gubernamental legítimo. Los atacantes ahora publican datos y exigen un pago, mientras aseguran haber comprometido organismos policiales italianos durante meses. El caso expone un problema que va más allá de Revolut: ¿qué ocurre cuando el atacante no falsifica a la autoridad, sino que logra hablar desde sus propios sistemas?
La historia parecía, en un primer momento, un sofisticado caso de suplantación.
Un atacante había conseguido enviar a Revolut solicitudes de información que aparentaban provenir de una agencia gubernamental. Los mensajes llegaban desde un dominio oficial y superaban los mecanismos habituales de autenticación del correo electrónico. Revolut los procesó como solicitudes legítimas y entregó información de sus clientes.
Pero durante las últimas horas el incidente tomó otra dimensión.
Los responsables comenzaron a publicar supuestos datos de clientes de alto perfil y a utilizar la información como mecanismo de extorsión. Paralelamente, aseguran que la infraestructura utilizada para obtener los datos de Revolut no fue simplemente falsificada: habría formado parte de una intrusión más amplia contra organismos policiales italianos.
Esta segunda parte todavía depende principalmente de las afirmaciones de los propios atacantes y de información publicada por International Cyber Digest, por lo que debe tratarse como no verificada de manera independiente. La primera, en cambio, ya está confirmada: Revolut reconoce que entregó información confidencial a un tercero no autorizado que utilizó una dirección perteneciente a un dominio gubernamental legítimo.
El atacante no entró a Revolut: Revolut le entregó los datos
Esta distinción es fundamental para entender el incidente.
No hay evidencia pública de que los atacantes hayan vulnerado los sistemas centrales de Revolut. La propia compañía sostiene que sus sistemas y los fondos de sus clientes permanecieron intactos.
El problema estuvo en otro lugar.
Un tercero no autorizado consiguió utilizar una cuenta perteneciente al dominio legítimo de una agencia gubernamental y la empleó para enviar solicitudes fraudulentas de información. Los mensajes pasaron los controles técnicos de autenticación del dominio y fueron procesados como solicitudes oficiales.
Revolut respondió.
Según las notificaciones enviadas a clientes afectados, entre la información potencialmente entregada aparecen nombres, fechas de nacimiento, direcciones postales, correos electrónicos, teléfonos, ocupaciones, copias de pasaportes o licencias de conducir y las fotografías utilizadas durante los procesos de verificación de identidad.
Pero el alcance no termina en el KYC.
También pudieron entregarse IBAN, estados de cuenta, registros de retiros y el historial completo de transacciones, incluyendo operaciones con Bitcoin.
Es una combinación particularmente delicada.
Un pasaporte filtrado ya representa un problema. Una dirección particular también. Un historial financiero completo, otro.
Cuando todo aparece asociado a una misma identidad, el atacante obtiene algo mucho más valioso: un perfil financiero extremadamente preciso de la víctima.
Y en el caso de las criptomonedas existe una consecuencia adicional. La pseudonimidad de determinadas direcciones blockchain puede quedar erosionada si una institución financiera entrega información capaz de vincularlas con nombres, documentos, domicilios y movimientos bancarios.
Cerca de 700 clientes afectados
Inicialmente Revolut se limitó a hablar de un número “muy limitado” de usuarios.
Información publicada posteriormente por Financial Times eleva esa cifra a 680 clientes afectados, mientras la autoridad británica de protección de datos investiga el incidente. Entre las personas afectadas estaría también Mark Karpelès, ex CEO de Mt. Gox.
La cifra es pequeña comparada con los aproximadamente 80 millones de clientes que Revolut dice atender globalmente.
Pero ese número puede ser engañoso a la hora de evaluar la gravedad.
El investigador blockchain ZachXBT había advertido desde el comienzo que el incidente parecía estar dirigido específicamente contra usuarios de alto patrimonio.
Si esa hipótesis es correcta, no estamos ante una extracción masiva e indiscriminada de información, sino frente a algo potencialmente más sofisticado: utilizar mecanismos legítimos de cooperación con las autoridades para construir dossiers financieros sobre objetivos seleccionados.
Los datos empiezan a aparecer públicamente
La situación escaló durante el fin de semana.
International Cyber Digest informó que los responsables comenzaron a publicar información que atribuyen a clientes de Revolut, incluyendo personas de alto perfil.
Entre los nombres mencionados aparecen el tenista Alexander Shevchenko y Felix Römer, vinculado a Gamdom y Skinscom. Otros medios han reportado la publicación de documentos y fotografías de verificación atribuidos a estas víctimas.
Los atacantes estarían utilizando la información como herramienta de extorsión y amenazan con continuar publicando datos, comunicaciones y detalles sobre el funcionamiento interno de los procesos de Revolut si la empresa no paga.
La existencia de la extorsión y de publicaciones atribuidas a clientes ha sido reportada por varias fuentes, aunque la autenticidad y procedencia de todo el material publicado por los atacantes no ha sido verificada independientemente.
Esto transforma el incidente.
Ya no se trata únicamente de determinar cómo Revolut validó incorrectamente una solicitud gubernamental.
Ahora existe una segunda pregunta: cómo consiguió el atacante emitirla desde infraestructura aparentemente legítima de una autoridad pública.
La pista italiana
Es aquí donde aparece la parte más inquietante de la historia.
International Cyber Digest afirma estar en contacto con un actor que se identifica como responsable de la operación, bajo el alias IAmNotAVillain.
Según su relato, los atacantes habrían comprometido sistemas pertenecientes a varios departamentos de las fuerzas de seguridad italianas y utilizado esa infraestructura para enviar solicitudes de información a Revolut durante aproximadamente seis meses.
La afirmación todavía no cuenta con confirmación oficial.
El actor asegura además poseer unos 147 GB de información obtenida del lado italiano, incluyendo documentos internos, calendarios y material personal perteneciente a funcionarios. Medios italianos ya comenzaron a recoger las afirmaciones sobre una posible intrusión contra organismos policiales, aunque por ahora continúan siendo acusaciones provenientes del atacante.
Este detalle podría explicar una de las grandes incógnitas del caso inicial.
Los correos fraudulentos no parecían simples mensajes de phishing enviados desde un dominio parecido al de una agencia pública.
Provenían de un dominio gubernamental real.
Eso importa porque mecanismos como SPF, DKIM y DMARC pueden ayudar a demostrar que un correo fue autorizado por la infraestructura de determinado dominio. Pero no pueden demostrar que la persona detrás de esa cuenta tiene realmente autoridad legal para solicitar información sobre un ciudadano.
Es una diferencia pequeña desde el punto de vista técnico y enorme desde el punto de vista de seguridad.
Cuando comprometer al policía permite atacar al banco
La operación, si las afirmaciones del atacante terminan confirmándose, representa un ejemplo particularmente interesante de ataque a una relación de confianza.
En lugar de atacar directamente la infraestructura mejor protegida, se compromete uno de los actores en los que esa infraestructura confía.
Las instituciones financieras necesitan responder regularmente solicitudes de jueces, policías, fiscalías, reguladores y otros organismos estatales. Esos canales forman parte del funcionamiento normal del sistema financiero.
Pero también crean una superficie de ataque.
Si un atacante consigue controlar una cuenta o plataforma utilizada por una autoridad legítima, puede intentar heredar indirectamente esa confianza.
Desde la perspectiva de Revolut, el mensaje técnicamente era auténtico: había sido enviado desde infraestructura correspondiente a quien decía enviarlo.
Lo que no era auténtico era la autoridad humana detrás de la solicitud.
Ese problema no se resuelve simplemente agregando otro filtro antispam.
Requiere procedimientos de validación independientes: canales secundarios para confirmar solicitudes especialmente sensibles, controles sobre el alcance de la información solicitada, identificación individual del funcionario responsable y mecanismos que permitan detectar patrones anómalos.
Una solicitud técnicamente válida no debería equivaler automáticamente a una solicitud jurídicamente válida.
El problema incómodo de acumular KYC
El incidente también vuelve a poner sobre la mesa una contradicción inherente a los sistemas modernos de identificación financiera.
Las regulaciones obligan a bancos y fintech a recopilar cantidades enormes de información para conocer a sus clientes, prevenir lavado de activos y colaborar con investigaciones.
Pasaportes.
Selfies.
Direcciones.
Teléfonos.
Movimientos bancarios.
Información laboral.
Historiales financieros.
En algunos casos, actividad relacionada con criptomonedas.
Todo eso permite cumplir obligaciones regulatorias.
También crea bases de datos extraordinariamente atractivas.
Y cuanto más completa es la identificación, mayor es el impacto cuando alguien consigue extraerla mediante una vulnerabilidad técnica, una cuenta comprometida, ingeniería social o, como aparentemente ocurrió aquí, abusando de un mecanismo legítimo de cooperación gubernamental.
El problema deja entonces de ser únicamente quién puede entrar a la base de datos.
También importa quién está autorizado a pedir que alguien desde adentro saque la información por él.
Una infraestructura de confianza que también puede ser atacada
Hay una lectura más amplia del caso Revolut.
Buena parte de la seguridad digital moderna está construida alrededor de cadenas de confianza.
Confiamos en certificados digitales para identificar servidores. En proveedores de identidad para autenticar usuarios. En dominios para identificar organizaciones. En autoridades certificadoras. En proveedores cloud. En instituciones públicas.
Y confiamos en que un mensaje proveniente de determinados sistemas gubernamentales representa realmente al Estado.
Pero ninguna de esas relaciones es absoluta.
Si el extremo confiable resulta comprometido, el atacante puede comenzar a operar con parte de su legitimidad.
Es el equivalente digital a robar no solamente una credencial, sino el sello oficial con el que se firman las órdenes.
El incidente de Revolut todavía tiene importantes incógnitas. No conocemos públicamente qué organismo fue comprometido, cómo se obtuvo acceso a su infraestructura ni hasta dónde llega realmente la intrusión que reivindican los atacantes. Las afirmaciones sobre los organismos policiales italianos y los 147 GB de información requieren confirmación independiente.
Pero hay algo que ya sabemos.
Revolut recibió solicitudes que parecían provenir de una autoridad legítima, las consideró auténticas y entregó información extremadamente sensible de cientos de personas.
El atacante no necesitó romper la puerta del banco.
Consiguió que alguien con autoridad tocara el timbre.
Y la puerta se abrió desde adentro.