Revolut ha revelado identidades de clientes y registros financieros, incluidos historiales de transacciones de Bitcoin, tras actuar en base a una solicitud fraudulenta que parecía provenir de una agencia gubernamental.
Según un aviso a clientes de Revolut compartido en Telegram por el investigador on-chain ZachXBT, la solicitud provino de una cuenta de correo electrónico no autorizada que utilizaba el dominio de una agencia gubernamental oficial. El mensaje pasó las comprobaciones de autenticación de dominio, y Revolut dijo que creyó que la solicitud era genuina cuando proporcionó la información.
El aviso no nombra a la agencia ni dice cómo el remitente no autorizado obtuvo acceso a su dominio de correo electrónico. Tampoco indica la fecha de la solicitud o la revelación. ZachXBT dijo que varios clientes recibieron un correo electrónico de alerta el viernes 11 de septiembre, pero ni él ni la parte del aviso que se muestra en su publicación dieron un recuento confirmado de usuarios afectados.
En su relato del incidente, Revolut dijo que el correo electrónico parecía ser una solicitud gubernamental legítima porque portaba credenciales de autenticación de dominio válidas. La solicitud fue enviada directamente desde una cuenta no autorizada utilizando el dominio de correo electrónico oficial de la agencia, en lugar de una dirección hecha para parecerse a ella.
“Como la comunicación portaba credenciales de autenticación de dominio válidas, fue atendida bajo la creencia razonable de que se trataba de una solicitud auténtica de una agencia gubernamental”, decía el aviso.
La redacción describe una divulgación no autorizada realizada en respuesta a una solicitud engañosa. El aviso no dice que un intruso haya entrado en los sistemas de Revolut, accedido a cuentas de clientes o retirado fondos. Tampoco identifica a la persona que envió la solicitud ni dice si la agencia ha investigado el uso de su cuenta de correo electrónico.
ZachXBT describió el incidente como probablemente limitado en tamaño y dijo que parecía haber apuntado a usuarios de alto patrimonio neto. El aviso de Revolut, tal como se muestra en la captura de pantalla, no confirma ni el tamaño del grupo afectado ni cómo se seleccionaron a los clientes.
Revolut enumeró los nombres completos de los clientes, fechas de nacimiento y ocupaciones entre los detalles de identidad proporcionados. La información de contacto incluía direcciones postales, direcciones de correo electrónico y números de teléfono.
La solicitud también resultó en la revelación de copias de documentos de identidad, como pasaportes o licencias de conducir, junto con las selfies que los clientes proporcionaron para las verificaciones de identidad. Revolut hizo una distinción entre esas imágenes y los datos biométricos de telemetría facial, que dijo que no estaban involucrados.
Los extractos de cuenta formaron otra parte del material revelado. Según el aviso, los extractos incluían IBANs, estado de cuenta, fechas de apertura de cuenta y números de referencia de carteras de Bitcoin. También se proporcionaron registros de retiro e historiales completos de transacciones, incluidas las transacciones de Bitcoin.
El aviso enumera las categorías de información que podrían haberse revelado; no establece que cada cliente afectado tuviera cada tipo de registro archivado. Tampoco dice que se incluyeran claves privadas de cartera, contraseñas de cuenta o detalles completos de tarjetas de pago. Los historiales de transacciones de Bitcoin son particularmente relevantes para los usuarios de criptomonedas porque el aviso los sitúa junto a nombres y otros registros de cuenta en la información enviada al solicitante no autorizado.
Revolut atiende a más de 80 millones de clientes a nivel mundial, según un anuncio de la compañía en agosto. Esa cifra de clientes describe el tamaño de su negocio, no el número afectado por esta divulgación.
La Oficina del Comisionado de Información del Reino Unido (ICO) afirma que las posibles consecuencias de una violación de datos personales incluyen robo de identidad, fraude y pérdidas financieras. Su guía sobre violaciones de seguridad exige una evaluación de la información involucrada y el daño probable a los individuos; no establece que alguien haya sufrido esos resultados en el incidente de Revolut.
Para un cliente cuyo documento de identidad y registros de transacciones fueron ambos revelados, el aviso indica que el receptor podría haber obtenido una cuenta detallada de las finanzas de esa persona. La afirmación de ZachXBT sobre que se apuntó a usuarios adinerados no ha sido confirmada por Revolut en el material mostrado, y no se documenta ningún uso indebido posterior de los registros.
La guía del regulador también dice que las organizaciones deben informar ciertas violaciones de datos personales dentro de las 72 horas de haber tomado conocimiento de ellas, cuando sea factible, y notificar a los individuos sin demora indebida cuando el riesgo para sus derechos y libertades sea alto. La captura de pantalla no dice si Revolut ha notificado a un regulador o cuándo la compañía se enteró por primera vez de la solicitud no autorizada.
En su guía de seguridad de EE. UU., Revolut aconseja a los clientes que utilicen el chat de soporte en la aplicación para verificar si un contacto sospechoso es genuino. La compañía dice que no pedirá a los clientes que compartan códigos de verificación o seguridad por teléfono. El aviso al cliente mostrado por ZachXBT no informa que tales códigos hayan sido revelados.
El incidente ocurre durante la expansión de los servicios bancarios y de activos digitales de Revolut. El 26 de agosto, la compañía comenzó a ofrecer su stablecoin EURR respaldada por euros a clientes seleccionados en Dinamarca, Polonia y Portugal, con una mayor disponibilidad europea planificada, según informó previamente crypto.news. El lanzamiento de la stablecoin es independiente de la divulgación de registros de clientes.
Los planes de Revolut para EE. UU. proporcionan contexto para los lectores estadounidenses, aunque el aviso no identifica a ningún cliente afectado como residente en los Estados Unidos. El 3 de septiembre, la compañía recibió la aprobación condicional para un banco en EE. UU. de la Oficina del Contralor de la Moneda. Su banco propuesto en Stamford, Connecticut, recibiría unos 95 millones de dólares en capital inicial y podría abrir en 2027 si obtiene las aprobaciones restantes.
Por ahora, Revolut proporciona servicios bancarios a clientes estadounidenses a través de Lead Bank, según el informe anterior. El banco nacional propuesto todavía necesita el seguro de depósitos de la Corporación Federal de Seguro de Depósitos (FDIC), la aprobación de la Reserva Federal y la autorización final de la OCC antes de poder abrir.
BTC