Revolut reveló datos sensibles de KYC e información transaccional de clientes a un tercero no autorizado que envió solicitudes de registro fraudulentas desde un dominio de correo de una agencia gubernamental legítima, según informó la empresa a TechCrunch y a The Block durante el fin de semana. Entre los datos expuestos podrían incluirse nombres, fechas de nacimiento, direcciones postales y de correo electrónico, números de teléfono, documentos de identidad, selfies de verificación, extractos de cuenta, IBAN e historiales completos de operaciones, incluidas las de Bitcoin. Revolut calificó el ataque como una «estafa sofisticada de suplantación externa», aseguró que los fondos de los clientes y los sistemas principales no se habían visto afectados, y declinó revelar cuántos usuarios resultaron afectados o qué dominio gubernamental se utilizó.
Why it matters
La brecha golpea la capa más sensible del stack de cumplimiento normativo de una fintech: no el libro mayor, sino los documentos que acreditan la identidad del cliente. El investigador on-chain ZachXBT señaló que el patrón de selección de víctimas apunta a usuarios de alto patrimonio, lo que abre la posibilidad de que las selfies, los documentos de identidad y los historiales completos sustraídos alimenten ulteriores intentos de ingeniería social o de toma de control de cuentas contra clientes de Revolut. La empresa ha notificado a las autoridades de protección de datos, a las fuerzas de seguridad y a la agencia gubernamental cuyo dominio fue suplantado, pero el propio vector del ataque (un dominio confiable de una contraparte explotado mediante solicitudes fraudulentas) recuerda a otro incidente ocurrido esta semana en el que los atacantes explotaron un proveedor externo de correo vinculado a Trezor.
Market impact
Revolut se encuentra inmersa en una ofensiva simultánea en EE. UU. y la UE que somete la brecha a un escrutinio regulatorio inusualmente intenso. La fintech británica recibió este mes la aprobación condicional de la Oficina del Contralor de la Moneda (OCC) para establecer un banco nacional, con planes de ofrecer banca tradicional junto a servicios de stablecoins, y está extendiendo su stablecoin EURR respaldado en euros por todo el EEE. Un fallo de verificación de contraparte que afecta a historiales completos de KYC y de operaciones con Bitcoin aparecerá previsiblemente en cada conversación de los examinadores de la licencia bancaria estadounidense sobre los controles de admisión de Revolut.
Preguntas frecuentes
-
¿Qué datos de clientes expuso Revolut en la brecha?
La brecha podría haber expuesto nombres, fechas de nacimiento, direcciones postales y de correo electrónico, números de teléfono, documentos de identidad como pasaportes y permisos de conducir, selfies de verificación, extractos de cuenta, IBAN e historiales completos de operaciones, incluidas las de Bitcoin.
-
¿Se han visto afectados los fondos de los clientes de Revolut por la brecha?
No. Revolut señaló que los fondos de los clientes y los sistemas principales no se vieron afectados. La empresa calificó el incidente de «estafa sofisticada de suplantación externa» y aseguró que bloqueó la dirección de correo tras identificarla.
-
¿Cómo accedieron los atacantes a los registros de los clientes de Revolut?
Un tercero no autorizado envió solicitudes de registro fraudulentas desde un dominio de correo legítimo de una agencia gubernamental. Revolut reveló la información sensible en respuesta y, después, bloqueó la dirección de correo al identificar la suplantación.
-
¿A cuántos clientes de Revolut afectó la brecha?
Revolut declinó facilitar la cifra y se limitó a decir que un número limitado de clientes resultó afectado. Algunos empezaron a recibir correos de notificación el viernes, y el exdirector general de Mt. Gox, Mark Karpelès, aseguró estar entre ellos.
-
¿Cómo se compara la brecha de Revolut con otros incidentes recientes en fintech de criptomonedas?
Revolut se suma a una lista creciente que incluye la brecha de Trezor en ShipMonk, con unos 67.000 clientes, y la filtración de seguimiento de pedidos de SafePal, con unos 39.798 clientes. Trezor también reveló esta semana un incidente de phishing por suplantación de dominio que refleja el vector de ataque de Revolut.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
Altcoin Daily
CryptoSlate