Revolut dijo que recientemente identificó un esquema de fraude en el que un tercero no autorizado utilizó una dirección de correo electrónico de un dominio legítimo de una agencia gubernamental para presentar solicitudes fraudulentas de información. La empresa fintech afirmó que el incidente afectó a un número limitado de clientes, mientras que el investigador onchain ZachXBT dijo que los datos divulgados podrían haber incluido documentos de identidad, extractos bancarios e historiales completos de transacciones, incluidas transferencias de bitcoin.

Revolut afirmó que sus sistemas y los fondos de los clientes no se vieron afectados y que los datos biométricos obtenidos mediante análisis facial no fueron comprometidos.

Revolut confirmó la divulgación en un comentario reportado por TechCrunch. La compañía dijo que había descubierto un “sofisticado esquema externo de fraude mediante suplantación de identidad” que involucraba una dirección de correo electrónico de un dominio legítimo de una agencia gubernamental.

“Revolut identificó recientemente una sofisticada estafa externa de suplantación de identidad en la que un tercero no autorizado utilizó un correo electrónico de un dominio legítimo de una agencia gubernamental para presentar solicitudes fraudulentas de información”, dijo un portavoz de la compañía.

Revolut no reveló el número de clientes afectados, el país en el que ocurrió el incidente ni la agencia gubernamental cuyo dominio fue utilizado. La compañía dijo que contactó directamente a los clientes afectados, bloqueó la dirección de correo electrónico pertinente y notificó a la agencia gubernamental, a las fuerzas del orden y a los reguladores pertinentes.

“Los sistemas de Revolut y los fondos de los clientes no se han visto afectados”, dijo el portavoz.

Datos potencialmente divulgados

ZachXBT, quien reportó el incidente, dijo que Revolut aparentemente no reconoció la solicitud como fraudulenta porque procedía de un dominio legítimo de una agencia gubernamental. Según ZachXBT, la solicitud fue atendida bajo la suposición de que provenía de un organismo gubernamental genuino.

ZachXBT dijo que la información potencialmente divulgada incluía los nombres completos de los clientes, fechas de nacimiento, ocupaciones, direcciones postales residenciales, direcciones de correo electrónico y números de teléfono. También podría haber incluido copias de pasaportes o licencias de conducir, selfies de verificación, registros de retiros y extractos bancarios que contenían IBAN, estado de cuenta, fechas de apertura y números de billetera.

Los historiales completos de transacciones, incluida la actividad de bitcoin, también podrían haber sido divulgados, dijo ZachXBT. Revolut afirmó que la información biométrica recopilada durante el análisis facial no fue comprometida.

ZachXBT describió el incidente como un posible ataque dirigido contra clientes de alto patrimonio, pero estimó que el número de usuarios afectados seguía siendo limitado. Varios clientes han recibido correos electrónicos de advertencia de Revolut, según ZachXBT.

Clientes y figuras del sector responden

El incidente provocó críticas contra Revolut en X. El cofundador de Aave, Mark Zeller, dijo que la exposición de sus datos era otro recordatorio de que los procedimientos de conocimiento del cliente habían creado riesgos adicionales sin aportar beneficios significativos. Zeller dijo que Revolut le había exigido recientemente una cantidad considerable de información personal mientras amenazaba con cerrar su cuenta en un plazo de 20 días, y que los atacantes pudieron después explotar el mecanismo de solicitud de información.

El cliente Nikhil Foster dijo que recibió una notificación que indicaba que la información divulgada incluía una copia de su pasaporte, una selfie y su historial completo de transacciones. Señaló que sus “datos biométricos faciales” supuestamente no fueron comprometidos. Otro usuario, Charles Reed, dijo que se enteró de que sus propios datos habían sido expuestos a través de reportes sobre el incidente.

El experto financiero Austin Campbell dijo que los bancos y los reguladores “están profundamente despreparados” para el fraude moderno. Campbell dijo que la divulgación podría exponer a Revolut a importantes riesgos legales y proporcionar a los delincuentes otra herramienta para ataques.

El cofundador y CEO de Helius, Mert Mumtaz, dijo que este tipo de divulgaciones puede conducir a robos en domicilios y pérdidas de millones. En su opinión, si se mantienen los requisitos KYC, la verificación debería realizarse exclusivamente mediante tecnología de pruebas de conocimiento cero ya disponible.

La expansión de Revolut

El incidente ocurre mientras Revolut amplía sus servicios financieros y de criptomonedas. La compañía está preparando una venta secundaria de acciones que podría valorarla en unos $115.000 millones y está desarrollando sus propios productos de activos digitales.

El inversor inicial de Revolut Max Karpis dijo previamente que alrededor del 80% de los reportes de transacciones sospechosas en Lituania procedían de Revolut Bank. La compañía también introdujo EURR, su primera stablecoin denominada en euros. Revolut dijo que EURR cumple con la regulación de Mercados de Criptoactivos de la Unión Europea y que prevé ampliar su oferta de stablecoins con el tiempo.

Fuente: HODL Press