Revolut ha confirmado que unos estafadores engañaron a la plataforma para que les entregara datos de clientes, incluida información que, según sus propios avisos, abarcaba pasaportes, selfies de verificación y registros de transacciones de Bitcoin.
La solicitud llegó desde el dominio de correo electrónico de una agencia gubernamental real y llevaba credenciales válidas. Revolut creyó que era auténtica y entregó los datos.
Lo que dice Revolut que ocurrió
Un portavoz de Revolut dijo a BeInCrypto que el banco bloqueó al remitente en cuanto detectó el problema.
«Revolut identificó recientemente un sofisticado ataque externo de suplantación de identidad en el que un tercero no autorizado utilizó una dirección de correo electrónico con el dominio legítimo de una agencia gubernamental para enviar solicitudes fraudulentas de información… Los sistemas de Revolut y los fondos de los clientes no se han visto afectados».
La empresa afirma que alertó a la agencia, a la policía y a sus reguladores de protección de datos y financieros. Se ha puesto en contacto con lo que denomina un número limitado de personas afectadas.
¿Son seguras las cuentas de Revolut?
Revolut afirma que las cuentas siguen siendo seguras. Y es cierto. Nunca quedaron expuestos los códigos de acceso, los datos de inicio de sesión ni los datos biométricos, informó el banco a BeInCrypto. No se movió dinero.
Los avisos enviados a los clientes lo expresan de otra manera. Dicen que se envió la selfi de verificación y solo descartan la telemetría facial biométrica, es decir, la plantilla facial que un sistema crea a partir de una foto. La foto en sí es otra cuestión.
Esos avisos enumeran el resto: pasaportes, permisos de conducir, domicilios y extractos bancarios. Un registro completo de las entradas y salidas de Bitcoin.
Revolut no dirá qué dominio de una agencia se utilizó, alegando que la investigación policial sigue en curso. Así que nadie ajeno a la empresa sabe si alguien secuestró un buzón de correo gubernamental o si alguien que ya tenía acceso pulsó «Enviar».
El investigador de blockchain ZachXBT, que se dedica a rastrear criptomonedas robadas, alertó sobre la filtración y señaló que llegó a un pequeño grupo de usuarios y parecía dirigida a personas adineradas.
Las listas de clientes robadas han aumentado el riesgo de phishing tras las filtraciones. La divulgación de domicilios ha precedido a ataques violentos contra titulares de criptomonedas.
Revolut ha descrito esto como un ataque sofisticado. Pero, según su propio relato, el atacante utilizó un sistema legítimo de correo electrónico gubernamental para enviar una solicitud fraudulenta. Revolut aceptó esa solicitud como auténtica y entregó los datos.
Fuente: BeInCrypto
