El neobanco Revolut se encuentra en el centro de un sofisticado ciberataque que ha permitido la exfiltración de datos personales de 680 clientes en toda Europa. A diferencia de los métodos intrusivos convencionales, los atacantes explotaron el protocolo de solicitudes de datos de emergencia (EDR), un mecanismo legal que permite a las fuerzas del orden acceder rápidamente a información en situaciones críticas. Al suplantar la identidad digital de una prefectura italiana a través de una cuenta de correo electrónico certificada como auténtica, los atacantes engañaron los procesos de verificación de la institución financiera, obteniendo así documentos de identidad, fotos KYC e historiales detallados de transacciones.
El grupo detrás de esta operación, autodenominado «iamnotavillain», ha formulado una demanda de rescate de 3 millones de dólares, exigida exclusivamente en Monero (XMR). La elección de esta criptomoneda, conocida por sus propiedades de anonimato, ilustra una estrategia diseñada para evadir el rastreo en la blockchain. A pesar de que el ultimátum de veinticuatro horas ha expirado, Revolut mantiene oficialmente que no ha sufrido ninguna intrusión directa en sus infraestructuras informáticas y afirma no haber recibido ninguna solicitud de pago por parte del colectivo.
Más allá de la vulneración de datos, el caso pone de relieve la fragilidad inherente a los procedimientos de emergencia de los servicios públicos. Al centrarse específicamente en perfiles identificados como titulares de carteras cripto importantes, los piratas han transformado datos administrativos en herramientas de selección financiera. Esta segmentación, posible gracias al cruce de identidades reales con direcciones públicas en redes, expone a las víctimas a riesgos crecientes, que van mucho más allá de la simple suplantación de identidad digital.
La situación plantea un dilema estratégico para las plataformas reguladas: ¿se debe ceder al chantaje para proteger a los usuarios o rechazar cualquier transacción, con el riesgo de que estos datos sean monetizados en la darknet? El ejemplo reciente de Coinbase, que rechazó una demanda similar prefiriendo invertir en medidas judiciales antes que pagar rescates, parece convertirse en la norma de referencia en la industria. Para los 680 clientes afectados, las consecuencias son ahora duraderas, aumentando significativamente el riesgo de amenazas físicas y ataques dirigidos, lo que recuerda una vez más la necesidad de una discreción absoluta sobre la tenencia de activos digitales.