Incidente de Divulgación de Datos en Revolut
Revolut ha revelado identidades de clientes y registros financieros, incluyendo historiales de transacciones de Bitcoin, después de actuar en base a una solicitud fraudulenta que aparentaba provenir de una agencia gubernamental.
«La solicitud provino de una cuenta de correo electrónico no autorizada que utilizaba el dominio de una agencia gubernamental oficial.»
Según un aviso a los clientes de Revolut compartido en Telegram por el investigador en cadena ZachXBT, el mensaje pasó las verificaciones de autenticación de dominio. Revolut afirmó que creía que la solicitud era genuina cuando proporcionó la información. El aviso no menciona a la agencia ni explica cómo el remitente no autorizado obtuvo acceso a su dominio de correo electrónico.
Detalles de la Solicitud Fraudulenta
El aviso indica que múltiples clientes recibieron un correo electrónico de alerta el viernes 11 de septiembre, pero no se proporcionó un conteo confirmado de usuarios afectados. Revolut explicó que el correo electrónico parecía ser una solicitud legítima del gobierno porque contenía credenciales válidas de autenticación de dominio.
«Dado que la comunicación contenía credenciales válidas de autenticación de dominio, se cumplió bajo la creencia razonable de que era una solicitud auténtica de una agencia gubernamental.»
El aviso describe una divulgación no autorizada realizada en respuesta a una solicitud engañosa. No menciona que un intruso haya ingresado a los sistemas de Revolut, accedido a cuentas de clientes o retirado fondos.
Información Divulgada
Revolut enumeró los nombres completos de los clientes, fechas de nacimiento y ocupaciones entre los detalles de identidad proporcionados. La información de contacto incluía:
- Direcciones postales
- Direcciones de correo electrónico
- Números de teléfono
La solicitud también resultó en la divulgación de copias de documentos de identidad, como pasaportes o licencias de conducir, junto con las selfies que los clientes proporcionaron para las verificaciones de identidad. Revolut hizo una distinción entre esas imágenes y los datos biométricos de telemetría facial, que dijo no estaban involucrados.
Los estados de cuenta formaron otra parte del material divulgado, incluyendo:
- IBANs
- Estado de la cuenta
- Fechas de apertura de cuentas
- Números de referencia de billeteras de Bitcoin
- Registros de retiros e historiales completos de transacciones
Los historiales de transacciones de Bitcoin son particularmente relevantes para los usuarios de criptomonedas porque el aviso los coloca junto a nombres y otros registros de cuentas en la información enviada al solicitante no autorizado.
Consecuencias y Recomendaciones
La Oficina del Comisionado de Información del Reino Unido señala que las posibles consecuencias de una violación de datos personales incluyen robo de identidad, fraude y pérdida financiera. Su guía sobre violaciones llama a una evaluación de la información involucrada y el daño probable a los individuos.
Para un cliente cuyo documento de identidad y registros de transacciones fueron ambos divulgados, el aviso indica que el destinatario podría haber obtenido un informe detallado de las finanzas de esa persona. La afirmación de ZachXBT sobre usuarios adinerados siendo el objetivo no ha sido confirmada por Revolut.
La guía del regulador también indica que las organizaciones deben informar ciertas violaciones de datos personales dentro de las 72 horas de haber tomado conocimiento de ellas. La captura de pantalla no indica si Revolut ha notificado a un regulador o cuándo la empresa se enteró por primera vez de la solicitud no autorizada.
Expansión de Revolut y Seguridad
El incidente ocurre durante la expansión de Revolut en sus servicios bancarios y de activos digitales. El 26 de agosto, la empresa comenzó a ofrecer su stablecoin EURR respaldada por euros a clientes seleccionados en Dinamarca, Polonia y Portugal.
El 3 de septiembre, la empresa recibió aprobación condicional para un banco en EE. UU. de la Oficina del Contralor de la Moneda. Su banco propuesto en Stamford, Connecticut, podría abrir en 2027 si obtiene las aprobaciones restantes.
Por ahora, Revolut proporciona servicios bancarios a clientes de EE. UU. a través de Lead Bank. La empresa aconseja a los clientes que utilicen el chat de soporte en la aplicación para verificar si un contacto sospechoso es genuino y afirma que no pedirá a los clientes que compartan códigos de verificación o de seguridad por teléfono.
