La neobanco Revolut ha sido recientemente objetivo de una maniobra de ingeniería social de una eficacia temible. Al aprovechar un acceso real al sistema de mensajería de una agencia gubernamental, los atacantes hicieron pasar una solicitud fraudulenta por un requerimiento legal auténtico. A diferencia de los ciberataques convencionales, no se eludió ningún protocolo de seguridad técnico: los filtros SPF, DKIM y DMARC validaron la comunicación, engañando así la vigilancia de los equipos de cumplimiento que, de buena fe, accedieron a la petición.
Esta brecha permitió a los individuos malintencionados extraer expedientes completos de una selección de clientes adinerados. Entre los datos sustraídos figuran copias de pasaportes, selfies de verificación de identidad, datos bancarios (IBAN) e historiales detallados de transacciones, incluyendo específicamente las actividades en Bitcoin. Aunque el banco asegura que los sistemas de seguridad y los fondos de los clientes no han sido comprometidos directamente, la exposición de información tan sensible supone un riesgo inmediato y prolongado para las víctimas.
El problema va mucho más allá de un simple robo de datos personales, ya que expone directamente a los usuarios a amenazas físicas. Al cruzar una identidad verificada con un saldo comprobado en criptomonedas, los agresores cuentan con el perfil ideal para organizar extorsiones, una tendencia preocupante que ha visto un marcado aumento de los secuestros relacionados con activos digitales en Francia. A diferencia de una contraseña, estos datos de identidad no pueden restablecerse, lo que marca de forma duradera a las personas afectadas por esta filtración.
Este incidente subraya una falla estructural mayor: a pesar de la robustez de las infraestructuras blockchain y de los protocolos de seguridad digital, el ser humano sigue siendo el eslabón más débil. En un sector donde los procedimientos de conocimiento del cliente (KYC) exigen una recopilación masiva de datos, la centralización de esta información se convierte en un objetivo prioritario. Para los expertos, este caso confirma que la prudencia ya no debe ser solo tecnológica, sino que debe basarse en verificaciones procedimentales rigurosas, incluso para aquellas solicitudes que parezcan provenir de las autoridades más legítimas.