Revolut entregó tu pasaporte a estafadores sin que nadie hackeara sus sistemas

Revolut no fue hackeada. Nadie violó sus cortafuegos ni encontró una vulnerabilidad en su código. En cambio, un atacante se hizo pasar por una autoridad gubernamental usando una dirección de correo electrónico con un dominio oficial legítimo, presentó una solicitud de divulgación de datos que los controles de verificación de Revolut aceptaron como genuina, y se fue con documentos de identidad completos, copias de pasaportes, selfies de verificación de cuenta y el historial completo de cuentas de los usuarios afectados, incluyendo cada transacción de Bitcoin registrada.

El ataque explotó una obligación legal, no un fallo de software. Las plataformas financieras están obligadas por ley a responder a solicitudes oficiales de datos de organismos gubernamentales y autoridades policiales. Al falsificar esas solicitudes de manera lo suficientemente convincente como para pasar la revisión de Revolut, el atacante convirtió un proceso de cumplimiento diseñado para proteger al público en el mecanismo de un robo de datos. Revolut dijo que intentó validar la solicitud de forma independiente con la autoridad correspondiente, pero la suplantación se descubrió solo después de que los datos ya se hubieran compartido.

Para cualquiera cuya cuenta estuviera incluida, la exposición es más profunda que una filtración estándar. Los datos robados vinculan identidades verificadas completas (nombres legales, fechas de nacimiento, direcciones de domicilio, copias de pasaportes o licencias de conducir, y las selfies presentadas durante la verificación de la cuenta) con referencias de billeteras de Bitcoin y registros completos de transacciones en cadena. Esa combinación no caduca. Incluso si los usuarios afectados abren nuevas billeteras, cualquiera que tenga los datos filtrados puede rastrear sus movimientos de monedas anteriores hasta una identidad real confirmada, de forma permanente.

Revolut afirmó que no hubo telemetría facial biométrica involucrada (las plantillas generadas por el sistema usadas para el reconocimiento facial automatizado), solo la fotografía en crudo tomada durante el registro. Los fondos de los clientes no se vieron afectados. La compañía bloqueó la dirección de correo electrónico fraudulenta, notificó a la autoridad gubernamental cuya identidad fue copiada, alertó a las autoridades policiales y presentó las divulgaciones regulatorias requeridas. Si los reguladores europeos de protección de datos consideran esa respuesta como adecuada es una pregunta abierta: el GDPR impone obligaciones estrictas sobre cómo las empresas manejan y protegen el tipo de documentos de identidad que fueron tomados.

El incidente apunta a una categoría de ataque que la seguridad técnica por sí sola no puede prevenir. Una empresa puede cifrar sus bases de datos, auditar sus API y realizar pruebas de penetración, y aun así ser víctima de ingeniería social a través de los procedimientos que está legalmente obligada a seguir. El problema no es el código de Revolut. Es la cuestión no resuelta de cómo cualquier organización verifica que una solicitud que lleva marcas oficiales realmente se origina del funcionario que dice representar.

Revolut notificó directamente a los clientes afectados y no ha revelado el número total de cuentas involucradas ni los mercados específicos donde ocurrió la exposición. Para cualquiera que haya recibido una notificación de filtración, los documentos de identidad en manos de estafadores abren la puerta a fraudes que se extienden mucho más allá de la plataforma misma: uso fraudulento de pasaportes, llamadas de phishing que hacen referencia a datos reales de la cuenta, robo de identidad en servicios financieros. Y el registro de Bitcoin es un tipo diferente de problema: Revolut puede restablecer una contraseña, pero nadie restablece la cadena de bloques.

Etiquetas: fintech, data breach, cybersecurity, Revolut, social engineering