El neobanco británico Revolut ha notificado a un grupo de clientes afectados la exposición no autorizada de su información personal, financiera y de operaciones con bitcoin (BTC). El incidente se produjo tras responder la entidad a una solicitud judicial fraudulenta que suplantaba la identidad de un organismo público.
La filtración fue notificada a los usuarios afectados el pasado viernes, 11 de septiembre de 2026, tras confirmar que el requerimiento carecía de autenticidad. La empresa ha notificado formalmente el evento a las autoridades reguladoras competentes e iniciado las medidas de contención correspondientes.
Mecanismo de suplantación y validación de correo
Según detalló la entidad, el incidente no respondió a un ciberataque directo o a una vulnerabilidad en sus servidores centrales, sino al uso no autorizado de una cuenta de correo electrónico legítima perteneciente a una agencia estatal.
Al haber sido enviado desde un servidor gubernamental auténtico, el mensaje superó los tres protocolos estándar de autenticación de correo electrónico:
- SPF (Sender Policy Framework): Validación de la autorización del servidor remitente.
- DKIM (DomainKeys Identified Mail): Firma digital de integridad del mensaje.
- DMARC (Domain-based Message Authentication, Reporting and Conformance): Instrucción de confianza para los filtros de recepción.
Al contar con las credenciales de validación técnica necesarias, la solicitud superó los filtros automáticos de control de la entidad financiera antes de que se verificara su validez directa.
Alcance de los datos expuestos y perfil de los afectados
El paquete de información sustraído incluye datos de identidad y registros transaccionales sensibles:
- Datos personales e identificación: Nombres completos, fechas de nacimiento, direcciones, correos electrónicos, copias de documentos de identidad (pasaportes o licencias de conducir) y fotografías de verificación.
- Información financiera y criptoactivos: Números de cuenta (IBAN), extractos bancarios e historiales detallados de operaciones con bitcoin (BTC).
El suceso se hizo público tras la difusión de las notificaciones oficiales por parte del investigador de activos digitales ZachXBT. Aunque Revolut opera a nivel global, los análisis preliminares indican que el requerimiento fraudulento estaba dirigido con precisión hacia usuarios de alto patrimonio.
