Revolut confió en un dominio oficial

El correo procedía de un dominio oficial auténtico. Había superado las comprobaciones habituales que verifican si un mensaje salió realmente de la organización que figura como remitente y solicitaba datos de clientes. Revolut atendió la petición y envió documentos de identidad, selfis, extractos bancarios e historiales de transacciones. Quien estaba detrás resultó ser un estafador (TechCrunch).

La empresa de tecnología financiera confirmó el incidente el sábado, después de que algunos de los afectados empezaran a compartir los correos en los que se les notificaba la filtración. Mark Karpelès, antiguo consejero delegado de Mt. Gox, publicó el suyo y confirmó así que era una de las víctimas (The Block). Revolut aseguró que no se había producido ningún acceso no autorizado a su plataforma bancaria y que no se habían sustraído fondos. La compañía entregó los datos porque las solicitudes fraudulentas procedían, según explicó en la notificación, de una cuenta creada sin autorización dentro de la infraestructura real de correo electrónico de un organismo público cuya identidad no ha revelado (Security Affairs).

El matasellos era auténtico. El remitente no estaba autorizado.

Cuando se recibe un correo electrónico, el proveedor ejecuta de forma automática varias comprobaciones de autenticidad. Estas permiten confirmar que el servidor de envío estaba autorizado por el propietario del dominio y que el mensaje no se modificó durante el trayecto. Es el equivalente digital a comprobar que una carta lleva el matasellos verdadero de una oficina pública real.

Un matasellos auténtico no demuestra, sin embargo, que quien escribió la carta estuviera autorizado para solicitar la información. La notificación de Revolut indica que la correcta autenticación del dominio fue una de las razones principales por las que se dio por legítima la petición. La empresa no ha aclarado si, antes de entregar los datos, comprobó por otra vía la identidad del solicitante o la autoridad legal que sustentaba el requerimiento (Security Affairs, CyberInsider).

Revolut entregó primero la información y solo después contactó directamente con el organismo público, momento en el que descubrió que las solicitudes no estaban autorizadas. La empresa bloqueó entonces al remitente, alertó a las autoridades y notificó lo ocurrido a los clientes afectados (TechCrunch, Reuters/WHBL).

Sigue sin saberse cómo llegó a existir ese buzón no autorizado. Podría tratarse de una cuenta legítima que fue comprometida, de una nueva cuenta creada aprovechando un fallo administrativo o de una operación que contara con ayuda interna. Revolut no ha identificado al organismo, el país, el dominio ni al atacante (TechCrunch).

Los datos que salieron de Revolut

La notificación enviada a los clientes enumera un conjunto muy amplio de información. Entre los documentos de identidad figuran copias del pasaporte y del permiso de conducir, el selfi tomado durante el alta, el nombre completo, la fecha de nacimiento y la profesión. También se facilitaron la dirección postal, el correo electrónico y el número de teléfono, además de extractos de cuenta con el IBAN, registros de retiradas y el historial completo de operaciones, incluidas las transacciones con Bitcoin (TechCrunch, The Block).

Revolut introdujo un matiz en su comunicación: se entregó el selfi del proceso de alta, pero no la plantilla matemática que genera a partir de él un sistema de reconocimiento facial. La fotografía de un rostro sigue siendo un dato sensible y, combinada con la copia de un pasaporte, podría facilitar intentos de suplantación de identidad, aunque muchos sistemas de verificación también exigen pruebas de vida y controles adicionales.

Entre los datos revelados no había contraseñas, códigos de un solo uso, números de tarjeta, identificadores de autenticación ni claves privadas de criptoactivos, que son los secretos necesarios para entrar en una cuenta. La información expuesta sí permite preparar campañas de suplantación mucho más convincentes: resulta más difícil desconfiar de un delincuente que cita transacciones verdaderas, números de cuenta reales y una dirección conocida que de quien envía un mensaje fraudulento genérico (guía del NCSC sobre filtraciones de datos).

Revolut señaló que el incidente afectó a un «número limitado» de clientes, pero no precisó el total, los países implicados ni el periodo durante el cual se produjeron las entregas. Medios belgas informaron, a partir de fuentes anónimas, de que habría víctimas en Bélgica, aunque no existe confirmación de una fuente primaria (The Brussels Times).

El fallo de verificación explica el incidente. La autenticación del dominio de correo permite a un banco saber qué infraestructura institucional envió un mensaje, pero no acredita que la persona que la utilizó tuviera autoridad para exigir expedientes de clientes. Las entidades que consideran suficiente esa comprobación quedan expuestas a este tipo de engaño. La experiencia de Revolut ha dejado al descubierto la carencia decisiva: se verificó el origen técnico del mensaje, pero no la identidad del solicitante ni el fundamento legal de la petición.