Revolut revela una brecha de datos que expone información financiera y pasaportes

La empresa fintech Revolut ha revelado una brecha de datos después de compartir información de un número indeterminado de clientes con un actor de amenazas que se hizo pasar por una agencia gubernamental.

Revolut opera en más de 160 países y regiones y ofrece servicios bancarios, de gestión de dinero y de inversión a más de 80 millones de clientes en todo el mundo, incluidos 800.000 clientes empresariales.

En correos electrónicos enviados a los clientes afectados, la compañía explicó que el atacante solicitó la información de identificación personal (PII) por correo electrónico utilizando el dominio de una agencia gubernamental. "Revolut recibió una solicitud de información de clientes que parecía provenir de una agencia gubernamental legítima. La solicitud llegó desde una cuenta de correo electrónico no autorizada enviada directamente utilizando el dominio de correo oficial de la agencia gubernamental", comunicó a los afectados. "Como la comunicación contaba con credenciales de autenticación de dominio válidas, se cumplió bajo la creencia razonable de que era una solicitud auténtica de una agencia gubernamental".

Revolut afirma que los datos enviados a los actores de amenazas incluyen detalles de identidad de las personas afectadas (es decir, nombre completo, fecha de nacimiento, ocupación), datos de contacto (dirección postal, dirección de correo electrónico y número de teléfono), así como documentos y datos de verificación, como copias de documentos de identidad (pasaporte y/o licencia de conducir) e imágenes de verificación facial (selfies proporcionadas para la verificación de Conoce a tu Cliente al abrir una cuenta).

La información expuesta también incluye extractos de cuenta (incluidos números IBAN), registros de retiros e historial completo de transacciones (incluidas transacciones con Bitcoin).

La compañía declaró a Reuters que la brecha de datos resultante afecta a un número "muy limitado" de clientes, pero se negó a compartir una cifra exacta.

Los sistemas de Revolut y los fondos de los clientes no se han visto afectados. Tras la detección, bloqueamos inmediatamente la dirección y alertamos a la agencia gubernamental correspondiente, así como a las fuerzas del orden, a los reguladores de protección de datos y a los reguladores financieros.

El investigador de fraudes con criptomonedas ZachXBT señaló durante el fin de semana que, aunque la brecha probablemente afecta a un número limitado de clientes de Revolut, "parece haber estado dirigida a usuarios de alto patrimonio".

Un portavoz de Revolut no estaba disponible de inmediato para comentar cuando BleepingComputer se puso en contacto para obtener más detalles sobre el incidente.

Hace cuatro años, Revolut reveló otra brecha de datos después de que los atacantes robaran información personal, de contacto y financiera de 50.150 clientes en septiembre de 2022.

Construya su modelo de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre lo que cambian los ataques a la velocidad de la IA, lo que los defensores deberían dejar de hacer y cómo validar, decidir, corregir y revalidar a velocidad de máquina.