Rory B Bellows
Madmaxista
- Desde
- 12 May 2009
- Mensajes
- 3.579
- Fruta
- 24.195
Revolut confirmó ayer 12 de septiembre de 2026 que entregó datos sensibles de un número “limitado” de clientes a un tercero no autorizado, después de atender solicitudes fraudulentas enviadas desde un correo alojado en el dominio legítimo de un organismo gubernamental.
No se trata de una intrusión en sus servidores ni nada por el estilo, sino de un error garrafal. Lo que falló, como casi siempre, fue el factor humano al pensar que estos requerimientos se responderían por un simple email.
Según el aviso enviado a los afectados y las declaraciones de la compañía a Reuters, TechCrunch y Bloomberg, un tercero creó o usó un buzón dentro de la infraestructura de correo de una autoridad pública. El mensaje llevaba credenciales de autenticación de dominio válidas (pasó controles del tipo SPF, DKIM y DMARC). Revolut lo trató como un requerimiento auténtico y remitió la información. Más tarde (tarde) contactó con el organismo por otra vía, constató que la solicitud no era suya y bloqueó la dirección.
La empresa describe el caso como una “engaña sofisticada de suplantación externa”. No ha identificado el organismo, ni el país, ni cuántos clientes están afectados. Tampoco ha precisado si el buzón fue secuestrado o si alguien con acceso interno al dominio lo utilizó.
La cronología de los hechos son los siguientes:
Los avisos a clientes comenzaron a llegar el viernes 11 de septiembre de 2026. Mark Karpelès, exconsejero delegado de Mt. Gox (Empresa de criptomonedas muy conocidas por ser de las primeras) y uno de los afectados, recibió un correo con el asunto de actualización urgente de seguridad sobre las 21:59 UTC de ese día y publicó extractos el sábado 12. El famoso investigador de engañas con criptomonedas ZachXBT difundió el caso el mismo sábado.
Revolut confirmó los hechos ese día a varios medios, a primera hora del día 12 aún no había comunicado oficial en su cuenta principal.
El aviso a clientes, reproducido por varios medios, indica que la información remitida pudo incluir:
· Nombre completo, fecha de nacimiento y ocupación
· Dirección postal, correo electrónico y teléfono
· Copias de pasaporte o permiso de conducir
· Selfie de verificación de identidad
· IBAN, estado de la cuenta, fecha de apertura y referencias de monedero
· Extractos, registros de retiradas e historial completo de transacciones, incluido Bitcoin
Una situación cuanto menos preocupante.
Revolut sostiene que no se compartió la telemetría biométrica facial (la plantilla que el sistema extrae de la foto), ni contraseñas, PIN, claves privadas, números de tarjeta ni fondos pero vaya, sí pudo salir la propia fotografía de verificación. La combinación de documentos KYC con el historial de Bitcoin permite, en la práctica, vincular una identidad real con actividad on-chain.
La compañía habla de un grupo “limitado” o “muy limitado” de clientes y afirma haberles escrito de forma directa. ZachXBT apunta a que el envío parece selectivo y orientado a perfiles de alto patrimonio aunque esa hipótesis no está confirmada por Revolut.
Pero sería algo aún más serio, pues hablamos de posible compromiso físico de personas por su patrimonio.
Tras detectarlo, bloqueó la dirección y avisó al organismo afectado, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. Declara que sus sistemas y el dinero de los clientes no se han visto comprometidos, y que aplicó medidas de protección precautorias a las cuentas afectadas.
No es un simple "hack" o "phishig" es un fallo del procedimiento con el que los bancos atienden requerimientos legales: si el correo nace en un dominio oficial y autentica bien, el control técnico no basta.
Para identificarte como cliente, debes pasar un proceso de identificación (KYC), sin embargo, la veracidad de quien está detrás de la pantalla para la solicitud de esos mismos datos, parece algo más suave...
Recuerda, te dirán siempre que el KYC es por tu bien.
No se trata de una intrusión en sus servidores ni nada por el estilo, sino de un error garrafal. Lo que falló, como casi siempre, fue el factor humano al pensar que estos requerimientos se responderían por un simple email.
Según el aviso enviado a los afectados y las declaraciones de la compañía a Reuters, TechCrunch y Bloomberg, un tercero creó o usó un buzón dentro de la infraestructura de correo de una autoridad pública. El mensaje llevaba credenciales de autenticación de dominio válidas (pasó controles del tipo SPF, DKIM y DMARC). Revolut lo trató como un requerimiento auténtico y remitió la información. Más tarde (tarde) contactó con el organismo por otra vía, constató que la solicitud no era suya y bloqueó la dirección.
La empresa describe el caso como una “engaña sofisticada de suplantación externa”. No ha identificado el organismo, ni el país, ni cuántos clientes están afectados. Tampoco ha precisado si el buzón fue secuestrado o si alguien con acceso interno al dominio lo utilizó.
La cronología de los hechos son los siguientes:
Los avisos a clientes comenzaron a llegar el viernes 11 de septiembre de 2026. Mark Karpelès, exconsejero delegado de Mt. Gox (Empresa de criptomonedas muy conocidas por ser de las primeras) y uno de los afectados, recibió un correo con el asunto de actualización urgente de seguridad sobre las 21:59 UTC de ese día y publicó extractos el sábado 12. El famoso investigador de engañas con criptomonedas ZachXBT difundió el caso el mismo sábado.
Revolut confirmó los hechos ese día a varios medios, a primera hora del día 12 aún no había comunicado oficial en su cuenta principal.
El aviso a clientes, reproducido por varios medios, indica que la información remitida pudo incluir:
· Nombre completo, fecha de nacimiento y ocupación
· Dirección postal, correo electrónico y teléfono
· Copias de pasaporte o permiso de conducir
· Selfie de verificación de identidad
· IBAN, estado de la cuenta, fecha de apertura y referencias de monedero
· Extractos, registros de retiradas e historial completo de transacciones, incluido Bitcoin
Una situación cuanto menos preocupante.
Revolut sostiene que no se compartió la telemetría biométrica facial (la plantilla que el sistema extrae de la foto), ni contraseñas, PIN, claves privadas, números de tarjeta ni fondos pero vaya, sí pudo salir la propia fotografía de verificación. La combinación de documentos KYC con el historial de Bitcoin permite, en la práctica, vincular una identidad real con actividad on-chain.
La compañía habla de un grupo “limitado” o “muy limitado” de clientes y afirma haberles escrito de forma directa. ZachXBT apunta a que el envío parece selectivo y orientado a perfiles de alto patrimonio aunque esa hipótesis no está confirmada por Revolut.
Pero sería algo aún más serio, pues hablamos de posible compromiso físico de personas por su patrimonio.
Tras detectarlo, bloqueó la dirección y avisó al organismo afectado, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. Declara que sus sistemas y el dinero de los clientes no se han visto comprometidos, y que aplicó medidas de protección precautorias a las cuentas afectadas.
No es un simple "hack" o "phishig" es un fallo del procedimiento con el que los bancos atienden requerimientos legales: si el correo nace en un dominio oficial y autentica bien, el control técnico no basta.
Para identificarte como cliente, debes pasar un proceso de identificación (KYC), sin embargo, la veracidad de quien está detrás de la pantalla para la solicitud de esos mismos datos, parece algo más suave...
Recuerda, te dirán siempre que el KYC es por tu bien.
Revolut la lia tras entregar información de ciertos usuarios de interés para atacantes tras responder un falso requerimiento legal Revolut confirmó ayer 12 de septiembre de 2026 que entregó datos sensibles de un número “limitado” de clientes a un tercero no autorizado, después… pic.twitter.com/jrAchJT96T
— Stark Ver en X