Filtración de datos Revolut: exponen KYC y transacciones de Bitcoin tras una solicitud falsa desde un dominio gubernamental

Revolut confirmó una filtración de datos Revolut que dejó al descubierto información sensible de clientes, incluidos documentos de verificación de identidad (KYC) y registros de transacciones en Bitcoin, luego de que un atacante usara una solicitud fraudulenta enviada desde lo que parecía ser un dominio oficial de gobierno, según reportó The Block.

El incidente pone el foco en un vector de ataque cada vez más habitual: la ingeniería social contra los canales por los que las fintech y los exchanges responden a requerimientos legales. En lugar de vulnerar directamente los servidores de la compañía, el responsable habría suplantado a una autoridad para pedir datos que normalmente se entregan a organismos legítimos.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Qué se sabe de la filtración de datos Revolut

De acuerdo con la información disponible, los datos comprometidos abarcan material de conocimiento del cliente (KYC), el proceso mediante el cual una plataforma verifica la identidad de sus usuarios con documentos oficiales, selfies y comprobantes de domicilio. A eso se suma el historial de operaciones con Bitcoin de los clientes afectados, un tipo de dato especialmente delicado porque conecta identidades reales con movimientos de dinero.

La combinación es la que más preocupa. Un documento de identidad por sí solo ya es valioso para el fraude, pero cuando se cruza con el registro de compras, ventas y transferencias de criptomonedas, un atacante obtiene un perfil financiero completo de la víctima. Ese material sirve tanto para campañas de phishing dirigido como para intentos de extorsión.

El detalle técnico clave es el origen del pedido. Según lo trascendido, la solicitud llegó desde un dominio que aparentaba ser gubernamental, lo que sugiere que el atacante logró falsificar o abusar de un canal que las empresas suelen tratar con menor sospecha. Las plataformas reguladas están obligadas a responder a requerimientos de autoridades, y esa obligación es justamente la que se explota cuando la verificación del emisor falla.

Por qué el ataque a través de un dominio falso es tan efectivo

Suplantar a un organismo oficial elude buena parte de las defensas técnicas. No hace falta romper el cifrado ni saltar cortafuegos si el propio equipo de cumplimiento entrega la información creyendo que atiende una orden legítima. Es el mismo principio que ha disparado los ataques dirigidos contra firmas que manejan datos confidenciales; el sector legal, por ejemplo, vio cómo los ciberataques a bufetes casi se duplicaron en 2025, con documentos robados que terminaron a la venta en la dark web.

Para una fintech con decenas de millones de usuarios como Revolut, el riesgo reputacional es considerable. La compañía ha construido buena parte de su propuesta sobre la promesa de una experiencia digital ágil, y episodios de este tipo reabren el debate sobre qué controles adicionales deberían aplicarse antes de liberar datos ante un requerimiento externo, por más oficial que parezca.

Conviene recordar que no es la primera vez que Revolut enfrenta problemas de seguridad. En 2022 la firma sufrió una brecha que afectó a decenas de miles de clientes, lo que la había llevado a reforzar sus protocolos internos. El nuevo caso muestra que el eslabón humano y de procesos sigue siendo el más difícil de blindar.

Qué implica para los usuarios afectados

Los clientes cuyos datos quedaron expuestos enfrentan un riesgo elevado de fraude personalizado. Con información KYC e historial de transacciones en mano, los estafadores pueden diseñar mensajes muy creíbles que imiten comunicaciones del propio banco o de organismos oficiales, y así intentar vaciar cuentas o robar credenciales.

Entre las medidas de precaución habituales que recomiendan los especialistas en seguridad figuran:

• Desconfiar de cualquier mensaje que pida datos, códigos o accesos, incluso si aparenta venir de Revolut o de una autoridad.
• Activar la autenticación de dos factores y revisar los dispositivos con sesión abierta.
• Vigilar movimientos inusuales en cuentas bancarias y billeteras de criptomonedas.
• No reutilizar contraseñas y considerar el cambio de las asociadas al servicio.

El episodio también deja una lección para el resto de la industria cripto y fintech. A medida que las plataformas se integran más con el sistema financiero regulado, los canales de cooperación con autoridades se vuelven un blanco atractivo. Verificar la autenticidad de cada requerimiento —y no solo su apariencia— pasa de ser una buena práctica a una necesidad operativa.

Por ahora resta conocer el alcance exacto de la filtración: cuántos clientes resultaron afectados, en qué jurisdicciones y si los reguladores europeos abrirán una investigación formal. La respuesta que dé Revolut en los próximos días marcará hasta qué punto logra contener el daño a la confianza de sus usuarios.