Banca: Revolut la lia tras entregar información de ciertos usuarios de interés para atacantes tras responder un falso requerimiento legal

La fintech Revolut ha confirmado la entrega de información sensible de un número limitado de clientes a terceros no autorizados, tras responder a un requerimiento legal fraudulento que aparentaba ser legítimo.

El error que expuso datos

La historia es más simple y a la vez más preocupante de lo que parece. No hablamos de un ataque informático a los servidores de Revolut, de esos que nos hacen pensar en hackers con capucha. Aquí el fallo fue más terrenal, más humano: la confianza ciega en un correo electrónico. Alguien, de forma bastante ingeniosa, montó una dirección de correo electrónico dentro del dominio de un organismo público. El truco estaba en que este correo pasaba todos los controles técnicos de autenticidad, como si fuera el mismísimo gobierno llamando a la puerta. Revolut, creyendo que se trataba de una solicitud legal en regla, remitió la información requerida. El problema es que, cuando se dieron cuenta del engaño, ya era tarde.

¿Qué información se compartió?

La lista de datos que pudieron ser expuestos es larga y preocupante. Hablamos de detalles que van mucho más allá de un simple nombre. Podrían haberse compartido nombres completos, fechas de nacimiento, ocupaciones, direcciones postales, correos electrónicos y números de teléfono. Pero el asunto se pone más serio: copias de pasaportes o permisos de conducir, selfies de verificación de identidad, datos bancarios como el IBAN, estado y fecha de apertura de la cuenta, e incluso referencias de monederos. Y sí, también extractos, registros de retiradas e historial completo de transacciones, incluyendo las de Bitcoin. Aunque la compañía asegura que no se compartieron contraseñas, PIN o fondos, la combinación de documentos de identidad con el historial de transacciones de criptomonedas abre la puerta a vincular identidades reales con actividades en la cadena de bloques.

Un fallo en el procedimiento

Lo más llamativo de este incidente es que pone de manifiesto una debilidad en los procedimientos estándar de las entidades financieras. El proceso de identificación del cliente, conocido como KYC (Know Your Customer), es riguroso para proteger a los usuarios. Sin embargo, la verificación de la identidad de quien solicita esa información, cuando se hace a través de medios electrónicos que aparentan ser legítimos, parece tener un punto ciego. Revolut ha declarado que se trata de una "estafa sofisticada de suplantación externa" y ha tomado medidas, como bloquear la dirección de correo, alertar a las autoridades y aplicar protecciones a las cuentas afectadas. Aun así, la posibilidad de que los datos hayan caído en manos equivocadas es una realidad que no se puede ignorar.