Un correo electrónico gubernamental falso se coló esta semana entre los controles de seguridad de Revolut, exponiendo direcciones residenciales, documentos de identidad e historiales de transacciones de Bitcoin pertenecientes a un grupo de clientes.
La solicitud parecía provenir de una agencia gubernamental legítima y contenía credenciales que superaron las comprobaciones de Revolut. La empresa entregó información de clientes antes de contactar por separado a la agencia y descubrir que la solicitud era fraudulenta, según avisos enviados a los usuarios afectados.
Según se informó, los archivos incluían pasaportes o permisos de conducir, selfies de verificación, nombres, fechas de nacimiento, ocupaciones, direcciones del domicilio, correos electrónicos, números de teléfono, IBAN, extractos de cuenta, registros de retiradas e historiales de transacciones completos, incluida toda la actividad de Bitcoin.
Revolut no ha divulgado cuántos clientes se vieron afectados y no respondió de inmediato a una solicitud de comentarios de CoinDesk. Dijo en su notificación que los fondos de los clientes permanecían a salvo y ha informado a los usuarios afectados y a los reguladores mientras bloqueaba la fuente de la solicitud.
El fallo fue autorización, no cifrado
No hubo una intrusión en el sentido convencional.
Una vez que la solicitud superó las comprobaciones internas de Revolut, alguien que se hacía pasar por un funcionario del gobierno obtuvo acceso a la misma información profundamente personal que el banco había recopilado para cumplir con los requisitos de identidad y cumplimiento.
Esa distinción importa para cualquiera que evalúe su propia exposición en otros ámbitos. El cifrado, el almacenamiento en frío y el registro de accesos abordan un modelo de amenaza completamente distinto. Un proceso que libera datos de forma legítima a solicitantes verificados falla cuando la verificación en sí es el objetivo.
Las instituciones financieras tramitan solicitudes de datos del gobierno de forma rutinaria, y el volumen genera presión para gestionarlas de manera eficiente. Un atacante solo necesita que la comprobación de credenciales pase una vez.
La IA hace que esta categoría de ataque sea más barata a gran escala
Los correos electrónicos convincentes, los documentos, las identidades y las solicitudes burocráticas se están volviendo baratas de producir a gran volumen, mientras que las empresas financieras siguen conservando registros cada vez más detallados sobre quiénes son sus clientes, dónde viven y cómo mueven el dinero.
Esa combinación cambia la economía. Suplantar convincentemente a una agencia gubernamental una vez requería conocimientos específicos sobre el formato de la agencia, las estructuras de referencia y las convenciones lingüísticas. Ahora pueden reproducirse a partir de ejemplos públicos con un coste marginal casi nulo.
La carga defensiva aumenta en consecuencia. Cada institución que mantiene datos sensibles ahora debe verificar la autoridad entrante frente a una amenaza que puede generar intentos plausibles ilimitados.
La combinación de datos es el riesgo específico
Bitcoin hace que la exposición sea inusualmente concreta.
La blockchain registra las transacciones de forma pública. Los datos personales —pasaporte, dirección del domicilio, ocupación— quedan fuera de la red. Los intermediarios financieros vinculan esos dos conjuntos, convirtiendo una base de datos de clientes en un mapa que enlaza a una persona real con su actividad onchain.
El investigador onchain ZachXBT, que llamó la atención sobre el incidente, dijo en una difusión de Telegram que la brecha parecía limitada en tamaño y que podría haberse dirigido a usuarios de alto patrimonio.
Si esa evaluación es correcta, el patrón de selección importa más que el volumen. Una solicitud dirigida a cuentas específicas con alto saldo produce un perfil de riesgo materialmente distinto que una extracción masiva, porque sugiere que el solicitante ya sabía qué buscaba.
Los clientes afectados se enfrentan a un riesgo inmediato de seguimiento por phishing que utiliza los datos expuestos para parecer creíble: quien conozca su dirección, el saldo de su cuenta y las transacciones recientes le resulta mucho más difícil de desestimar. Quienes reciban una notificación deberían tratar cualquier contacto no solicitado que haga referencia a su cuenta de Revolut con especial cautela y verificarlo de forma independiente mediante canales oficiales.
Quienes tienen participaciones significativas también deberían considerar su postura de seguridad física, dado que la información de dirección y saldo apareció junta.
Las pruebas de conocimiento cero obtienen un caso de uso concreto
El incidente le da a la tecnología de privacidad una aplicación inmediata en lugar de una teórica.
Los sistemas de conocimiento cero permiten que alguien demuestre que se completó una verificación de identidad, o que un cliente cumple un requisito particular, mientras revela menos del pasaporte, la dirección o la información subyacente utilizada para establecerlo.
La diferencia arquitectónica es lo que importa aquí. Con los arreglos actuales, cumplir un requisito de cumplimiento significa que la institución conserva los documentos subyacentes de forma indefinida, y cualquier fallo posterior lo expone todo. En un sistema basado en pruebas, la institución conserva una atestación en lugar del material de origen.
Un atacante que logra suplantar a una agencia gubernamental frente a un sistema basado en ZK obtiene confirmación de que las comprobaciones se superaron. No recibe un escaneo de pasaporte ni una dirección del domicilio.
La Pregunta Está Pasando de la Protección a la Recopilación
A medida que la suplantación se vuelve más fácil, el problema de seguridad pasa de qué tan bien las instituciones protegen los datos de los clientes a cuánta información sensible necesitan recopilar, conservar y revelar en absoluto.
Ese replanteamiento tiene implicaciones regulatorias que el régimen de cumplimiento no ha abordado. Los requisitos de «conozca a su cliente» se diseñaron pensando en un modelo de amenaza en el que la institución era el depositario de confianza y el riesgo era una intrusión externa. No contemplan que la institución sea manipulada socialmente para que divulgue voluntariamente.
Cada campo adicional que se exige a una entidad regulada recopilar amplía el conjunto de datos disponibles en un fallo de este tipo. El marco de cumplimiento y el resultado de seguridad trabajan uno contra el otro, y el incidente de Revolut es una demostración, no un argumento.