Revolut expuso datos de pasaportes y registros de Bitcoin tras una solicitud gubernamental falsa, según un informe

El investigador de blockchain ZachXBT reveló hoy más temprano que Revolut había divulgado información personal y financiera sumamente confidencial de ciertos clientes tras recibir lo que parecía ser una solicitud oficial auténtica del gobierno.

La empresa envió correos electrónicos a los usuarios afectados y admitió que los registros expuestos incluían pasaportes, selfies de verificación, direcciones y el historial completo de transacciones de Bitcoin.

Qué información quedó expuesta

En el correo electrónico enviado a los clientes y divulgado por ZachXBT en su canal de Telegram, Revolut explicó que recibió una solicitud de información que parecía provenir de una agencia gubernamental legítima. El remitente no se limitó a suplantar una dirección que parecía oficial. La solicitud provenía de una cuenta de correo electrónico no autorizada que usaba el dominio de correo electrónico real de la agencia gubernamental y contaba con credenciales válidas de autenticación del dominio, añadió la empresa.

Revolut atendió la solicitud creyendo que era legítima. La información divulgada podría haber incluido los nombres completos, fechas de nacimiento, ocupaciones, domicilios, direcciones de correo electrónico y números de teléfono de ciertos clientes. Entre los datos más sensibles había copias de pasaportes o licencias de conducir, así como las imágenes de las selfies que los clientes habían proporcionado durante el proceso de verificación. La buena noticia, según la empresa, es que los datos biométricos de telemetría facial en sí no se vieron comprometidos.

Sin embargo, la empresa afirmó que había proporcionado información financiera, incluidos extractos de cuenta con IBAN, fechas de apertura de cuentas y números de referencia de monederos, así como registros de retiros y el historial completo de transacciones, incluidas las de BTC.

Hasta ahora, Revolut no ha identificado públicamente al organismo gubernamental involucrado, y el aviso enviado a los clientes no indica si se accedió a sus contraseñas, claves privadas o fondos.

¿Ir contra los ricos?

El investigador de la cadena de bloques describió el incidente como «probablemente limitado en alcance», ya que parecía que los responsables se habían centrado únicamente en usuarios con un patrimonio elevado. Sin embargo, esto no se ha confirmado ni de forma independiente ni por parte de Revolut. Además, la empresa no ha revelado el número exacto de clientes afectados.

A partir de la información disponible al cierre de esta edición, el incidente parece ser una divulgación no autorizada, más que un ataque directo a la infraestructura de Revolut. La propia empresa indica a los organismos gubernamentales y a las fuerzas del orden que presenten solicitudes oficiales de información a través de un canal específico.

Fuente: CryptoPotato