Revolut reveló pasaportes de clientes, selfies de verificación e historiales de transacciones de Bitcoin a un atacante que se hizo pasar por una agencia gubernamental legítima mediante un correo electrónico que superó todas las comprobaciones de autenticación estándar. La revelación se produjo después de que Revolut tratara una solicitud fraudulenta de información gubernamental como auténtica y luego contactara a la agencia por separado, descubriendo que la solicitud no estaba autorizada.
Why it matters
La solicitud fraudulenta provino de un buzón no autorizado que operaba dentro de la infraestructura de correo electrónico de una agencia gubernamental real, no de una dirección externa suplantada. El correo superó la autenticación SPF, DKIM y DMARC, lo que según Revolut la llevó a atender la solicitud. Esa combinación convirtió efectivamente un flujo de cumplimiento diseñado para proteger a los clientes en la puerta de entrada de la brecha.
Los registros expuestos emparejan identidad verificada con actividad cripto, una combinación que los marcos de cumplimiento se construyeron para proteger. Las transacciones de Bitcoin se registran en una blockchain pública, por lo que vincular un nombre, una dirección y una profesión a flujos específicos de BTC ofrece a un atacante un punto de partida para mapear la huella en cadena más amplia de una persona. Marc Zeller, fundador de Aave Chan Initiative, fue uno de los notificados y acusó a Revolut de hacer el trabajo de los atacantes después de que la empresa le exigiera por separado más información personal o cerrar su cuenta.
Market impact
No se han reportado fondos de clientes robados. Revolut declaró que la revelación no incluyó contraseñas, PIN de tarjetas ni claves privadas de criptomonedas. El riesgo inmediato es el paquete de documentos de identidad, datos de contacto, direcciones residenciales e historiales financieros ahora potencialmente en manos del atacante. El investigador en cadena ZachXBT dijo que la brecha parecía de alcance limitado y podría haber apuntado a clientes de alto patrimonio. Revolut no ha revelado la agencia implicada, el número total de clientes afectados ni si su proceso de verificación ha cambiado desde el incidente.
Preguntas frecuentes
-
¿Cómo engañaron los hackers a Revolut para que liberara datos de clientes?
Los atacantes usaron un buzón no autorizado dentro de la infraestructura de correo electrónico de una agencia gubernamental real. El correo fraudulento superó la autenticación SPF, DKIM y DMARC, por lo que Revolut lo trató como una solicitud legítima de información gubernamental.
-
¿Qué información específica se reveló en la brecha de Revolut?
Los datos revelados pueden incluir copias de pasaporte o carné de conducir, selfies de verificación, nombres, fechas de nacimiento, profesiones, direcciones de domicilio, números de teléfono, IBAN, extractos de cuenta, registros de retiradas e historiales completos de transacciones, incluida la actividad en Bitcoin.
-
¿Se robaron fondos de clientes en la brecha de Revolut?
No. Revolut declaró que las contraseñas, los PIN de tarjeta y las claves privadas de criptomonedas no formaron parte de la revelación. El riesgo proviene de la combinación de documentos de identidad e historiales de transacciones cripto ahora potencialmente en manos del atacante.
-
¿Quién se vio afectado por la brecha de datos de Revolut?
Revolut no ha revelado la agencia implicada, el número total de clientes afectados ni cómo se filtraron las solicitudes. El investigador en cadena ZachXBT dijo que la revelación parecía de alcance limitado y podría haber apuntado a clientes de alto patrimonio.
-
¿Por qué es especialmente arriesgado exponer historiales de transacciones de Bitcoin?
Las transacciones de Bitcoin se registran en una blockchain pública. Cuando se combinan datos de identidad con actividad cripto, los atacantes pueden mapear a una persona conocida con direcciones específicas y rastrear su huella en cadena más amplia.
WuBlockchain
Crypto News
CoinDesk
CoinTelegraph
TheBlock