Revolut entregó expedientes de verificación de identidad, selfies e historiales de operaciones con bitcoin a un tercero no autorizado después de recibir un correo fraudulento enviado desde un dominio estatal auténtico, según la información disponible sobre el incidente.
El acceso se produjo mediante phishing
El episodio tuvo su origen en una campaña de phishing. El mensaje aparentaba proceder de un dominio gubernamental real, un elemento que habría contribuido a que la comunicación fuese considerada legítima y a que Revolut facilitara la información solicitada.
La filtración afecta a documentación incluida en los procesos KYC —las comprobaciones de identidad exigidas a los clientes—, además de imágenes tipo selfie y datos relativos al historial de bitcoin. La información terminó en manos de una persona o entidad que no estaba autorizada para recibirla.
Sin detalles sobre el alcance
La información disponible no precisa cuántos usuarios se vieron afectados, qué volumen de expedientes fue entregado ni durante cuánto tiempo permanecieron expuestos los datos. Tampoco identifica el dominio estatal utilizado en el correo fraudulento ni detalla las medidas adoptadas por Revolut tras detectar el incidente.
El caso pone el foco en el riesgo de los ataques que suplantan a organismos legítimos. La utilización de un dominio estatal auténtico puede dificultar la identificación del fraude y facilitar que una solicitud maliciosa se confunda con una comunicación oficial.
