Sistemas

El pedido llegó desde el dominio real de una agencia gubernamental. Traía credenciales de autenticación válidas. Tenía el formato de una solicitud legal de información. Revolut lo cumplió. Los clientes afectados se enteraron el viernes 11 de septiembre, cuando la empresa les avisó que sus documentos de identidad y sus movimientos financieros completos estaban en manos de un tercero no identificado. La compañía descubrió el problema recién cuando contactó a la agencia por separado. Para entonces los datos ya estaban entregados.

Las notificaciones que circuló el investigador ZachXBT enumeran el alcance. Copias de pasaporte o licencia de conducir, junto con las selfies que los clientes suben durante la verificación de identidad. Nombre completo, fecha de nacimiento, ocupación. Dirección postal, correo electrónico, teléfono. IBAN, estado de la cuenta, fecha de apertura, números de referencia de billeteras de Bitcoin. Extractos, registros de retiros, e historiales de transacciones completos, incluidas las operaciones en Bitcoin.

Lo que no se expuso: contraseñas, PIN de tarjeta, credenciales de acceso ni llaves privadas. Revolut también distinguió entre las selfies de verificación y la telemetría biométrica facial derivada de ellas, aclarando que esa última no fue incluida.

Por qué el correo pasó

El detalle técnico es lo que hace al caso distinto de un phishing común. El mensaje superó SPF, DKIM y DMARC, los tres mecanismos que verifican que un correo esté autorizado por el dominio que dice representar.

No los burló. Los aprobó legítimamente, porque el atacante operaba desde una casilla real dentro de la infraestructura de dominio de la agencia. No hubo suplantación, ni dominio parecido, ni encabezados falsificados. El correo era, en términos técnicos, auténtico.

Esos protocolos certifican que el mensaje salió de un servidor autorizado para ese dominio. No certifican que la persona detrás de la casilla tenga facultades para pedir nada. Es la misma lección que dejó, días atrás, la campaña de phishing que salió desde help@trezor.io. Autenticar el canal no es autenticar la autoridad de quien escribe.

La falla de Revolut en chequear la veracidad del pedido por alguna vía alternativa

Revolut confirmó el fraude llamando a la agencia. Esa verificación fuera de banda funcionó perfectamente. Ocurrió después.

La pregunta que ninguna cobertura logró que la empresa responda es por qué un procedimiento que entrega copias de pasaporte, selfies e historiales financieros completos se resolvía validando un correo, sin una confirmación por un canal independiente antes de liberar los datos. Un pedido de esta magnitud tendría que activar una llamada de vuelta a un número publicado por la agencia, no una revisión de encabezados.

Lo que Revolut informó	Lo que no informó
Que bloqueó la dirección en todos sus sistemas	Cuántos clientes fueron afectados
Que alertó a la agencia, a las fuerzas de seguridad y a los reguladores	Qué agencia fue suplantada
Que los fondos y los sistemas no se vieron comprometidos	Cuándo se entregaron los datos
Que aplicó medidas de protección preventivas	Cómo se obtuvo una casilla en ese dominio

El riesgo físico

ZachXBT, que difundió las notificaciones, sostiene que el incidente fue acotado en tamaño y apuntó a usuarios de alto patrimonio.

El paquete que quedó expuesto combina tres cosas que rara vez viajan juntas: documento de identidad, domicilio particular y prueba verificada de tenencias importantes. Es precisamente el insumo de los llamados wrench attacks, la coacción física contra personas que se sabe que tienen cripto. A diferencia de las filtraciones de proveedores logísticos que golpearon a fabricantes de billeteras este año, donde había direcciones pero no saldos confirmados, en este escenario el atacante tiene las dos mitades.

Por Sistemas, el 12/09/2026.

Historias relacionadas