Una brecha de un tipo particular acaba de afectar al neobanco Revolut, poniendo de manifiesto la extrema vulnerabilidad de los procesos de cumplimiento frente a los ciberataques de ingeniería social. Los días 11 y 12 de septiembre, la empresa respondió favorablemente a una solicitud de información aparentemente oficial, creyendo colaborar con una agencia gubernamental. En realidad, un atacante había logrado infiltrarse directamente en la infraestructura de mensajería de la institución estatal. Los sistemas del neobanco validaron el mensaje sin rechazo alguno, pues los controles de seguridad habituales como SPF, DKIM y DMARC confirmaron la autenticidad técnica del remitente. Este incidente ocurre mientras la entidad, que recientemente obtuvo una licencia bancaria completa en Francia, contempla su salida a bolsa con una valoración estimada de entre 150 y 200 mil millones de dólares.

El alcance de los elementos sustraídos resulta crítico para los usuarios afectados. La estafa permitió la extracción de expedientes de identidad completos que incluían copias de pasaportes, fotos de verificación facial, datos de contacto, extractos bancarios con IBAN, pero, sobre todo, el historial exhaustivo de las transacciones en Bitcoin. Según las observaciones del investigador ZachXBT y los testimonios de figuras del sector como Mark Karpelès o Marc Zeller, el ataque tenía como objetivo prioritario a clientes adinerados. Aunque la firma afirma haber bloqueado la dirección comprometida y preservado los fondos, la filtración simultánea de datos de estado civil e historiales de activos digitales crea un perjuicio permanente para las víctimas.

La divulgación conjunta de una dirección física y un patrimonio en criptoactivos genera riesgos inmediatos para la seguridad de las personas. En Francia, las extorsiones violentas y los secuestros que tienen como objetivo a los poseedores de monedas digitales han registrado un aumento marcado, alcanzando los 77 casos registrados desde principios de 2026 frente a los 45 de todo el año 2025. Este evento recuerda antiguos precedentes importantes del sector, como el hackeo sufrido por Ledger en 2020 o la filtración interna padecida por Coinbase en 2025, cuyo coste global superó los 400 millones de dólares. En el caso actual, la asociación definitiva entre una identidad real y un saldo en Bitcoin proporciona una base de objetivos particularmente temible para agresiones físicas.

El asunto también reabre el debate sobre la eficacia y los riesgos inherentes a los procedimientos de verificación de identidad (KYC), percibidos por algunos actores del ecosistema como registros vulnerables que ponen en peligro a los usuarios. Si bien las auditorías de seguridad informática no pueden compensar la ausencia de verificación humana directa al recibir un requerimiento judicial, el incidente demuestra que el eslabón débil sigue siendo la gestión de la confianza. Aunque la firma ha alertado a los reguladores financieros y a la policía, los clientes franceses afectados tienen la posibilidad de acudir directamente a la CNIL para denunciar esta violación de sus datos personales bajo el RGPD.