Revolut confirma que un correo electrónico falso del gobierno obtuvo pasaportes y registros de Bitcoin: ¿quién lo envió?
Revolut confirmó a BeInCrypto que alguien sí logró engañarla para que entregara archivos de clientes que, según sus propios avisos, contenían pasaportes, selfis y registros de Bitcoin. La empresa lo califica de ataque sofisticado. Lo que describe es un correo electrónico.
El mensaje llegó desde el dominio de correo electrónico de una agencia gubernamental real. Incluía credenciales de dominio auténticas. Revolut lo aceptó como legítimo y envió los archivos.
Lo que dice Revolut que ocurrió
Un portavoz de Revolut dijo a BeInCrypto que el banco bloqueó al remitente en cuanto detectó el problema.
«Revolut identificó recientemente un sofisticado ataque externo de suplantación de identidad en el que un tercero no autorizado utilizó una dirección de correo electrónico con el dominio legítimo de una agencia gubernamental para enviar solicitudes fraudulentas de información… Los sistemas de Revolut y los fondos de los clientes no se han visto afectados».
Síguenos en X para obtener las últimas noticias a medida que suceden
La empresa afirma que alertó a la agencia, a la policía y a sus reguladores de protección de datos y financieros. Se ha puesto en contacto con lo que denomina un número limitado de personas afectadas.
La parte que omite el comunicado
Revolut afirma que las cuentas siguen seguras. Eso es cierto, pero ese no es el problema.
El banco dijo a BeInCrypto que nunca se expusieron códigos de acceso, datos de inicio de sesión ni datos biométricos. No se movió dinero.
Los avisos enviados a los clientes lo expresan de otra manera. Dicen que se envió la selfi de verificación y solo descartan la telemetría facial biométrica, es decir, la plantilla facial que un sistema crea a partir de una foto. La foto en sí es otra cuestión.
Esos avisos enumeran el resto: pasaportes, permisos de conducir, domicilios y extractos bancarios. Un registro completo de las entradas y salidas de Bitcoin.
Cambiar una contraseña lleva un minuto. Cambiar un pasaporte, no.
Revolut no dirá qué dominio de una agencia se utilizó, alegando que la investigación policial sigue en curso. Así que nadie ajeno a la empresa sabe si alguien secuestró un buzón de correo gubernamental o si alguien que ya tenía acceso pulsó «Enviar».
El investigador de blockchain ZachXBT, que se dedica a rastrear criptomonedas robadas, alertó sobre la filtración y señaló que llegó a un pequeño grupo de usuarios y parecía dirigida a personas adineradas.
Las listas de clientes robadas han aumentado el riesgo de phishing tras las filtraciones. La divulgación de domicilios ha precedido a ataques violentos contra titulares de criptomonedas.
La palabra «sofisticado» puede interpretarse de otra manera. Según la propia versión de Revolut, el atacante escribió un correo electrónico y esperó. La parte ingeniosa ocurrió dentro de un sistema de correo gubernamental. La parte costosa ocurrió dentro de Revolut.
Fuente: BeInCrypto