Revolut divulgó registros KYC de clientes después de que una solicitud gubernamental falsa superara las comprobaciones de correo electrónico

Una identidad gubernamental legítima ocultaba una solicitud no autorizada

Revolut confirmó el 12 de septiembre de 2026 que había divulgado registros confidenciales de clientes a una parte no autorizada tras recibir una solicitud fraudulenta de datos gubernamentales.

Las notificaciones a los clientes comenzaron a circular el 11 de septiembre, según TechCrunch. La información publicada sobre el incidente indica que el mensaje se envió a través de una infraestructura perteneciente a un organismo gubernamental legítimo y contenía credenciales válidas asociadas a su dominio oficial.

Estas características permitieron que el correo electrónico superara las comprobaciones de autenticación de Revolut. En consecuencia, los empleados lo trataron como una solicitud legal o regulatoria legítima y proporcionaron la información solicitada de los clientes.

Posteriormente, Revolut se puso en contacto con el organismo a través de un canal independiente. La entidad afirmó que no había emitido la solicitud, dejando al descubierto que el remitente no estaba autorizado, pero solo después de que los registros ya hubieran sido divulgados.

No se trató de una intrusión convencional en Revolut. No se ha informado de ninguna infección por malware, explotación de una vulnerabilidad de software, acceso no autorizado a los servidores de la empresa ni compromiso de los saldos de los clientes. En su lugar, el atacante abusó de una identidad externa de confianza para obtener datos mediante un proceso administrativo aparentemente válido.

El organismo gubernamental implicado no ha sido identificado.

Pasaportes, selfies e historiales de transacciones podrían haber quedado expuestos

Los registros divulgados podrían incluir buena parte de la información que Revolut recopila para la verificación de identidad, la diligencia debida de los clientes y la supervisión financiera.

Los datos afectados podrían incluir:

• Nombres completos, fechas de nacimiento y profesiones.
• Direcciones postales, direcciones de correo electrónico y números de teléfono.
• Copias de pasaportes o permisos de conducir.
• Selfies de clientes enviados durante la verificación de identidad.
• Extractos de cuenta con IBAN, estado de la cuenta y fechas de apertura.
• Números de referencia de monederos y registros de retiradas.
• Historiales completos de transacciones, incluidas las operaciones con Bitcoin.

Revolut afirmó que los datos biométricos de telemetría facial no se vieron comprometidos. La distinción es técnicamente relevante: un selfie de verificación es una imagen, mientras que la telemetría biométrica suele referirse a mediciones o plantillas generadas por sistemas que analizan características físicas.

Aun así, las imágenes divulgadas siguen siendo sensibles. Un pasaporte o permiso de conducir acompañado de un selfie coincidente puede ayudar a los delincuentes a suplantar la identidad de un cliente, superar revisiones manuales de identidad, crear cuentas fraudulentas o hacer que posteriores intentos de ingeniería social parezcan creíbles.

La información financiera añade otro nivel de riesgo. Los historiales de transacciones pueden revelar contrapartes, patrones de gasto, actividad de las cuentas e indicios del patrimonio personal. Los registros de Bitcoin pueden vincular la actividad en criptomonedas con una identidad real verificada, lo que permite a los atacantes elaborar perfiles detallados de clientes concretos.

No hay indicios de que se hayan robado fondos a partir de la información divulgada. Sin embargo, la ausencia de un robo financiero inmediato no elimina riesgos a más largo plazo, como el fraude de identidad, la extorsión y el phishing altamente personalizado.

La autenticación del correo verificó el dominio, no la autoridad del remitente

Las pruebas disponibles apuntan a un fallo en la validación de la solicitud, no en los controles internos de acceso de Revolut.

Al parecer, el atacante obtuvo la capacidad de enviar mensajes desde el entorno de dominio legítimo del organismo gubernamental. Se han identificado dos posibles vías: una cuenta existente del organismo podría haber sido comprometida o podría haberse creado una cuenta no autorizada dentro de ese entorno. No se sabe cuál de las dos situaciones se produjo.

Como el mensaje pasó por la infraestructura oficial, pudo superar las comprobaciones técnicas que Revolut utilizaba para evaluar los correos entrantes. Controles como SPF, DKIM y DMARC pueden ayudar a determinar si un mensaje está autorizado por un dominio concreto, si está firmado en su nombre o si está correctamente alineado con él.

No pueden determinar si existe autoridad legal.

Un correo electrónico correctamente autenticado puede proceder de un buzón comprometido, de una persona maliciosa dentro de la organización o de una cuenta creada sin la debida autorización. La autenticación del dominio responde a preguntas sobre el tratamiento del mensaje y la alineación con el dominio; no demuestra que la persona que utiliza la cuenta tenga autoridad para exigir registros de clientes.

En este caso, la verificación independiente con el organismo reveló el engaño. La debilidad decisiva fue que esa confirmación se produjo después de la divulgación y no antes.

No hay ningún identificador CVE, exploit o familia de malware asociada al incidente. Tampoco existen versiones de software afectadas, ya que el suceso no se atribuyó a una vulnerabilidad del producto.

El número de clientes y el alcance geográfico siguen sin conocerse

Revolut describió a la población afectada como un número limitado de clientes y afirmó que se puso en contacto directamente con esas personas. No ha revelado la cifra exacta, los países implicados ni si las solicitudes se limitaron a un solo mercado.

El investigador de seguridad especializado en criptomonedas ZachXBT consideró que la operación parecía dirigirse contra clientes con un elevado patrimonio. Revolut no ha confirmado esta evaluación, pero resulta coherente con el valor de la información solicitada.

Un operador dirigido podría utilizar los extractos de cuenta y los historiales de criptomonedas para identificar a personas adineradas, estimar sus activos, trazar sus relaciones financieras y seleccionarlas para posteriores fraudes o actos de coacción. Los datos de contacto y los documentos de identidad proporcionarían después el material necesario para hacer más convincentes esos acercamientos.

Se desconoce la identidad del atacante. Tampoco está claro si los registros se solicitaron para cometer un fraude financiero directo, recopilar inteligencia, llevar a cabo una extorsión, suplantar cuentas u otro propósito.

Revolut presta servicio a 80 millones de clientes en todo el mundo. Por tanto, el incidente afecta a una pequeña parte de su base de usuarios, pero el impacto individual podría ser grave, ya que cada conjunto de datos expuesto combina pruebas de identidad, canales de contacto y actividad financiera.

La divulgación se produce además mientras Revolut busca reforzar su posición regulatoria. La empresa había recibido recientemente la aprobación condicional para convertirse en un banco nacional en Estados Unidos y, según se informó, estaba estudiando una oferta pública inicial con una valoración de 200.000 millones de dólares.

Revolut bloqueó al remitente y avisó a las autoridades

Revolut afirmó que sus sistemas y los fondos de sus clientes no se vieron afectados. Tras descubrir lo ocurrido, la empresa:

• Bloqueó la dirección de correo electrónico utilizada para enviar la solicitud.
• Alertó al organismo gubernamental.
• Avisó a las fuerzas del orden.
• Informó del incidente a los reguladores financieros.
• Se puso en contacto directamente con los clientes afectados.

Bloquear una dirección puede impedir nuevas solicitudes desde ese buzón concreto, pero no permite determinar si se abusó de otras cuentas dentro del mismo entorno del organismo. El hecho de que la identidad de la entidad no se haya divulgado también limita la capacidad de otras instituciones financieras para revisar sus propios registros de solicitudes legales en busca de mensajes procedentes de la misma fuente.

Revolut no ha publicado la dirección del remitente ni otros indicadores técnicos. No se han divulgado pruebas de que solicitudes similares llegaran a otras empresas reguladas.

Las entidades financieras que gestionen solicitudes gubernamentales deberían conservar los registros de las solicitudes y buscar buzones de organismos inusuales o detectados recientemente. Las solicitudes de documentos de identidad, selfies de verificación, extractos completos, identificadores de monederos o historiales de criptomonedas requieren un nivel adicional de escrutinio, ya que combinan categorías de información especialmente sensibles.

Las divulgaciones de alto riesgo deberían requerir una confirmación fuera de banda mediante un método de contacto establecido previamente, no a través de un número de teléfono, enlace o contacto incluido en el mensaje recibido. Las instituciones también pueden mantener directorios de los solicitantes autorizados de cada organismo y exigir una aprobación adicional antes de divulgar expedientes amplios de clientes.

Los clientes afectados deben prepararse para intentos convincentes de suplantación

Los clientes notificados por Revolut deberían considerar permanente la exposición de su información de identidad y financiera. Los pasaportes, los historiales de transacciones y las imágenes de verificación no pueden volver a mantenerse en secreto simplemente cambiando una contraseña.

Las personas afectadas deberían examinar con atención los mensajes o llamadas que hagan referencia a actividad real en Revolut, transacciones con Bitcoin, información sobre la apertura de cuentas, direcciones u otros datos precisos. Conocer esos datos no demuestra que quien llama represente a Revolut, a un regulador o a un organismo policial.

Los clientes deberían abrir la aplicación oficial de Revolut por su cuenta o utilizar los canales de soporte habituales, en lugar de seguir enlaces incluidos en mensajes no solicitados. También deberían vigilar sus cuentas para detectar actividad no autorizada y estar atentos a intentos de contratar productos financieros a su nombre.

El peligro más probable no es que se repita la solicitud original. Es que se utilicen datos KYC auténticos para hacer que el próximo intento de fraude parezca legítimo.