La Revolut expuso información personal y financiera de parte de sus clientes tras atender una solicitud fraudulenta de datos que parecía haber sido enviada por una agencia gubernamental legítima. La fintech comunicó a los usuarios afectados el viernes (11), y el caso fue divulgado este sábado (12) por el investigador de blockchain ZachXBT.
Según la notificación enviada por la empresa, la solicitud llegó desde una cuenta de correo electrónico no autorizada que parecía pertenecer a un organismo público. Después de proporcionar la información, Revolut se puso en contacto directamente con la agencia implicada para validar la solicitud y constató que no era legítima.
El episodio constituye una exposición provocada por ingeniería social, y no por una invasión técnica a la infraestructura de la fintech. El relato inicial afirma que no hubo pérdida de fondos de clientes.
Documentos, IBAN e historial de transacciones quedaron expuestos
Entre la información afectada se incluyen copias de pasaportes o licencias de conducir, selfis utilizados en la verificación de identidad, nombres completos, fechas de nacimiento, profesiones, direcciones residenciales, correos electrónicos y números de teléfono.
La exposición también alcanzó datos financieros, incluyendo IBAN, extractos bancarios, registros de retiros e historiales completos de transacciones, incluidos los movimientos con Bitcoin. Revolut informó a los clientes que los datos de telemetría biométrica facial no se vieron comprometidos.
La cantidad de clientes afectados no fue divulgada. ZachXBT afirmó que el incidente parece tener un alcance limitado, pero puede haber sido dirigido principalmente a clientes de alto patrimonio. La evaluación no fue confirmada públicamente por Revolut.
La política de la fintech prevé compartir información con las autoridades cuando lo exija la ley. La propia Revolut mantiene un canal específico para solicitudes oficiales y órdenes judiciales, lo que convierte la validación del origen de esas solicitudes en una etapa central del proceso.
