Así engañaron a un empleado de Revolut para robar selfies, pasaportes e IBAN de clientes
- Los atacantes amenazan con sacar a la luz más datos cada día si el neobanco no paga
Revolut ha confirmado que un empleado fue engañado por un atacante que se hizo pasar por una agencia gubernamental. Así filtró pasaportes, selfies de verificación, IBAN y otros datos personales de una parte de sus clientes. La compañía asegura que sus sistemas y los fondos de los clientes no se han visto afectados, aunque los datos sustraídos ya circulan en internet.
Revolut opera como banco digital en más de 30 países y supera los 80 millones de clientes en todo el mundo -con
Cómo lograron engañar a un empleado de Revolut
El origen del incidente no fue un fallo técnico ni una vulnerabilidad en los servidores de Revolut. Un ciberdelincuente se hizo pasar por una agencia gubernamental y envió una solicitud de datos de clientes desde una cuenta de correo alojada en un dominio gubernamental real.
El mensaje superó los filtros de seguridad porque procedía de un servidor legítimo y no de uno falsificado: en la práctica, pasó los protocolos de autenticación de correo (SPF, DKIM y DMARC), diseñados precisamente para detectar suplantaciones. El empleado, tras comprobar que el dominio era auténtico, entregó la información solicitada sin sospechar del engaño.
Qué datos personales ha filtrado Revolut
Según ha detallado la propia Revolut a sus clientes afectados, la información comprometida incluye:
- Identidad y contacto: nombre, apellidos, fecha de nacimiento, direcciones postales y de correo electrónico, y números de teléfono.
- Documentación oficial: pasaportes y permisos de conducir escaneados.
- Datos bancarios: IBAN confirmado; los extractos de cuenta y el historial de transacciones podrían estar incluidos, según la propia Revolut.
- Verificación de identidad: selfies utilizadas en el proceso de registro (KYC).
A ese paquete se suma el historial de operaciones con bitcoin y otras criptomonedas de los clientes afectados. Así ha trascendido en medios especializados en criptoactivos que siguen el caso desde el pasado sábado 12 de septiembre.
La respuesta oficial de Revolut
Revolut notificó el incidente a sus clientes afectados el pasado viernes 11 de septiembre de 2026. La compañía asegura que solo un número limitado de usuarios se ha visto afectado, sin precisar la cifra exacta ni el alcance geográfico.
Tras detectar el fraude, la compañía bloqueó la dirección de correo utilizada por el atacante. También alertó a la agencia gubernamental suplantada, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. “Los sistemas de Revolut y los fondos de los clientes no se han visto afectados”, señala el comunicado enviado a los usuarios.
Los datos ya circulan y hay amenazas de nuevas filtraciones
Según ha trascendido en foros y canales de mensajería, quienes están detrás del ataque ya han empezado a publicar documentos de identidad y selfies de clientes, con especial foco en perfiles de alto patrimonio. Los atacantes han advertido de que seguirán difundiendo más información a diario mientras Revolut no realice un pago, sin que se haya hecho pública la cantidad exigida.
¿Ha afectado a los clientes de Revolut en España?
Revolut supera los 7 millones de usuarios en España, con una penetración del 15% del mercado nacional -según la compañía, 1 de cada 3 jóvenes españoles de entre 25 y 34 años ya tiene cuenta-. La filial española ha remitido un comunicado en el que confirma que la incidencia afecta a “un grupo muy limitado de usuarios”, sin confirmar ni descartar que haya clientes españoles entre los perjudicados.
“Nuestro enfoque principal es dar soporte directo a cada persona afectada y ofrecer total transparencia sobre cómo se ha visto comprometida su cuenta”, ha trasladado la compañía en España.
Fuente de la imagen principal: Montaje Roams
Últimas noticias
Comentarios
