Revolut confirmó que información sensible de clientes fue entregada a un tercero no autorizado después de recibir solicitudes fraudulentas desde el dominio de correo legítimo de una agencia gubernamental. El incidente explotó la autoridad aparente de un canal externo y no una intrusión informada en los sistemas centrales de la compañía.
La empresa describió al grupo afectado como una cantidad muy limitada de clientes y aseguró que todos fueron notificados. No informó una cifra exacta, por lo que el alcance no debe transformarse en un número mayor o más preciso sin confirmación adicional.
Entre la información expuesta se reportaron fechas de nacimiento, direcciones postales y de correo electrónico, teléfonos y copias de documentos de identidad, incluidos pasaportes y licencias de conducir. Esas categorías pueden facilitar suplantaciones y campañas dirigidas de engaño aun sin acceso a los fondos.
Revolut afirmó que sus sistemas y el dinero de los clientes no fueron afectados. La distinción limita el impacto operativo confirmado, pero no elimina el riesgo de privacidad generado cuando documentos duraderos y datos de contacto llegan a un destinatario no autorizado.
Tras detectar el incidente, la compañía dijo haber bloqueado la dirección utilizada. También avisó a la agencia pública pertinente, fuerzas de seguridad, autoridades de protección de datos y reguladores financieros, dejando bajo examen tanto el canal engañoso como los controles de verificación de Revolut.
El episodio muestra una falla de seguridad capaz de atravesar defensas técnicas perimetrales. Un mensaje puede provenir de un dominio legítimo y aun contener una solicitud no autorizada, por lo que deben comprobarse la persona requirente, la autoridad legal, el alcance y una vía independiente de contacto antes de entregar datos.
La filtración ocurre mientras Revolut considera una posible cotización pública y aspiraría a una valoración de hasta US$200.000 millones. Esos planes son independientes del incidente, pero la respuesta regulatoria, los costos de remediación y la confianza pueden incidir en la evaluación de gobierno de una fintech.
La próxima evidencia debería incluir el número confirmado de clientes, el inventario completo de datos, la duración de las solicitudes y cualquier uso indebido demostrado. Hasta entonces, la conclusión defendible es una exposición seria pero limitada, sin compromiso confirmado de sistemas ni fondos de clientes.
