El neobanco Revolut confirmó una brecha de seguridad el 12 de septiembre de 2026 en la que entregó datos sensibles de clientes a un tercero no autorizado tras recibir una solicitud fraudulenta que parecía provenir de una agencia gubernamental legítima. El ataque no fue un hackeo técnico: los estafadores enviaron correos desde una dirección alojada en el dominio real de una agencia gubernamental (posiblemente italiana), con credenciales de autenticación válidas que superaron los controles de Revolut.
Los datos comprometidos incluyen nombres, fechas de nacimiento, direcciones, teléfonos, correos electrónicos, documentos de identidad escaneados (pasaportes, DNI, carnets de conducir), selfies de verificación facial, IBAN, extractos bancarios e historiales completos de transacciones, incluidas operaciones con Bitcoin. Según Financial Times, alrededor de 680 clientes resultaron afectados a nivel global, 25 de ellos en España, aunque Revolut solo ha hablado de un alcance «muy limitado».
Tras detectar el incidente, Revolut bloqueó la dirección de correo involucrada, notificó a la agencia suplantada, a las autoridades y reguladores financieros, y contactó directamente con los afectados. La compañía asegura que los fondos de los clientes no se vieron comprometidos, que no hubo acceso a contraseñas ni datos biométricos, y que sus sistemas no fueron vulnerados. Un grupo llamado «iamnotavillain» ha exigido públicamente un rescate de 3 millones de dólares en Monero, aunque Revolut niega haber recibido tal reclamación.
Fuente: Xataka
Imagen: Flickr