El dominio era real. La autoridad detrás no lo era
Revolut confirmó el 12 de septiembre que divulgó datos de clientes tras recibir lo que denominó "una sofisticada estafa de suplantación externa", en la que un atacante utilizó el propio dominio de correo de una agencia gubernamental legítima para enviar solicitudes fraudulentas. El comunicado de Revolut afirmó que la solicitud incluía credenciales que superaron los controles propios de la empresa, y desde entonces ha bloqueado la dirección y ha alertado a las fuerzas de seguridad y a los reguladores. La empresa no ha identificado la agencia cuyo dominio se utilizó, ni ha dicho si el dominio en sí estaba comprometido o si el atacante encontró otra forma de enviar correos desde él.
Revolut fue clara en un punto: "los sistemas de Revolut y los fondos de los clientes no se han visto afectados". No se trató de una intrusión en la infraestructura de Revolut. Fue el propio proceso de Revolut para responder a solicitudes oficiales, funcionando exactamente como estaba diseñado, ante una solicitud que parecía exactamente igual a las que ese proceso está diseñado para atender.
Lo que realmente salió de los sistemas de Revolut
Los archivos expuestos, según la información revisada tras la divulgación, iban mucho más allá de un nombre y una dirección.
| Categoría | Qué se expuso |
|---|---|
| Documentos de identidad | Pasaportes o carnés de conducir, además de selfies de verificación |
| Datos personales | Nombres, fechas de nacimiento, ocupaciones, domicilios, correos electrónicos, números de teléfono |
| Registros financieros | IBAN, extractos de cuenta, registros de retiradas |
| Historial de transacciones | Historiales de transacciones completos, incluida la actividad con bitcoin |
Revolut ha dicho que el número de clientes afectados es "limitado" sin ofrecer una cifra, y los medios independientes tampoco han podido confirmar una cantidad. La inclusión de historiales completos de transacciones cripto importa más allá de la brecha de privacidad inmediata: entrega a quien posea estos datos un listado ya preparado de qué clientes realmente tienen y mueven activos digitales, exactamente la información de segmentación que necesitaría una estafa posterior.
Esto es un fallo de verificación de proveedores, no un hackeo
El patrón no es nuevo, solo lo es el objetivo. El fraude de compromiso de correo empresarial lleva años engañando a departamentos financieros para que transfieran dinero a un proveedor falso mediante la suplantación o el secuestro del dominio de una contraparte real, y la defensa que se enseña a todo equipo financiero es la misma: que un dominio sea real no hace que la solicitud detrás de él sea real, así que hay que verificar por un canal independiente antes de mover nada. La brecha de Revolut es ese mismo fallo, pero del lado de los datos en vez del dinero. Un dominio que realmente pertenecía a una agencia gubernamental bastó para conseguir que se liberaran archivos de clientes, porque nada en el proceso obligaba a una segunda comprobación independiente de la persona u oficina que realmente hacía la solicitud.
Esa es la parte incómoda que cualquier empresa regulada debe asumir: el dominio no era falso. Todo lo que una comprobación ordinaria a nivel de bandeja de entrada habría buscado estaba presente y en orden. Solo una llamada de verificación a un contacto confirmado, usando un número o una dirección obtenidos de forma independiente al propio correo, lo habría detectado.
Qué debería comprobar ahora cualquier empresa regulada
Cualquier empresa de la UE o el Reino Unido que reciba y atienda solicitudes oficiales de datos por correo electrónico, no solo bancos y fintechs, tiene la misma exposición que Revolut acaba de demostrar que es explotable. La autenticación de dominio, SPF, DKIM, un bloque de firma con apariencia correcta, confirma de dónde vino un correo. Nada de eso confirma que la persona que lo envía realmente tenga la autoridad que dice tener, y tratar ambas cosas como si fueran lo mismo es exactamente el vacío por el que pasó esta brecha.
La solución práctica no es un nuevo software de seguridad. Es una norma escrita que exige que cualquier solicitud de datos de clientes, por oficial que parezca, reciba una verificación mediante llamada a un contacto obtenido de forma independiente al propio correo, el mismo estándar que ya se enseña a los equipos financieros a aplicar antes de mover dinero. Bajo el RGPD y, donde aplique, DORA, ese paso de verificación también marca la diferencia entre un proceso documentado y defendible y un informe de brecha que se limita a decir que la solicitud "parecía legítima".
Leer a continuación: El fisco francés está exento de sus propias multas del RGPD | Tu Foto de Licencia Estuvo Un Año en Su Servidor
