Revolut ha confirmado una brecha de datos provocada por solicitudes fraudulentas que llegaron desde un dominio legítimo de una agencia gubernamental. La fintech británica entregó información sensible de clientes a un tercero no autorizado después de recibir esas peticiones, según una notificación revisada por TechCrunch y confirmada por la compañía.
La información expuesta incluía datos de identidad y contacto, como fecha de nacimiento, dirección postal, correo electrónico y teléfono. En algunos casos también pudo incluir copias de documentos de identidad, pasaportes, carnés de conducir, selfies de verificación, extractos de cuenta e historiales de transacciones. Revolut afirma que el número de afectados fue limitado, aunque no ha dado una cifra concreta.
El incidente golpea justo en la zona más sensible de una fintech: la confianza en los procesos de verificación y respuesta ante requerimientos oficiales.
La compañía sostiene que sus sistemas y los fondos de clientes no se vieron afectados. También asegura que bloqueó la dirección implicada tras detectar la suplantación y que avisó a la agencia gubernamental correspondiente, a las fuerzas de seguridad y a los reguladores competentes. No ha detallado qué organismo fue suplantado ni si el caso se limitó a un mercado concreto.
El vector de ataque es especialmente incómodo para entidades financieras digitales. Bancos, fintechs y plataformas de pagos reciben a diario requerimientos de autoridades, juzgados, policías o reguladores. Si un atacante consigue abusar de un dominio oficial o de una cuenta comprometida, puede saltarse parte de la sospecha inicial que activaría un correo ordinario.
Para los usuarios, el riesgo no se limita al dato filtrado en sí. Documentos de identidad, selfies de verificación y extractos pueden alimentar fraudes posteriores, intentos de apertura de cuentas, ingeniería social o ataques dirigidos a clientes de alto patrimonio. El valor de esa información aumenta cuando se combina con teléfono, dirección y transacciones.
La brecha recuerda que una institución puede tener sistemas internos seguros y aun así fallar en el punto donde decide si una solicitud externa es legítima.
Revolut llega a este episodio en plena expansión internacional. La compañía afirma tener más de 80 millones de clientes en todo el mundo y operar como banco en más de 30 países. En los últimos meses ha reforzado su presencia en mercados como India, México, Francia y Emiratos Árabes Unidos, además de avanzar en su proyecto bancario en Estados Unidos.
La escala hace que cada incidente pese más. Una fintech global necesita procesos de respuesta a autoridades que sean rápidos, pero también resistentes a suplantaciones sofisticadas. Eso implica validación fuera de banda, listas de contactos verificadas, controles por jurisdicción, trazabilidad de aprobaciones y revisión humana especializada cuando se solicitan documentos o movimientos financieros.
El caso también plantea un reto regulatorio. Las autoridades piden colaboración ágil a entidades financieras para combatir delitos, pero los canales de solicitud deben ser seguros. Si un dominio oficial puede usarse para engañar a un banco o fintech, el problema no está solo dentro de la empresa que entrega los datos, sino en todo el circuito de comunicación entre sector público y sector financiero.
Para Revolut, la prioridad ahora será demostrar que el incidente fue contenido y que el procedimiento de verificación queda reforzado antes de la próxima solicitud sensible.
En España y la Unión Europea, donde la protección de datos y la supervisión financiera tienen una exigencia elevada, el mensaje para el sector es directo. Digitalizar una entidad no elimina los riesgos administrativos; los convierte en procesos que también deben auditarse, probarse y entrenarse contra suplantaciones. La confianza no depende solo de la app, sino de cada puerta por la que entra una petición de información.
