A Revolut no lo hackearon: le pidieron los datos por escrito

No hubo exploit. No hubo día cero. No hubo un tipo con capucha tecleando en tres pantallas. Alguien escribió un correo educado desde el dominio real de una agencia gubernamental, pidió datos de unos clientes concretos, y Revolut se los mandó.

La propia compañía lo ha confirmado. En su versión, recogida por TechCrunch, identificó “una sofisticada suplantación externa en la que un tercero no autorizado utilizó el correo de un dominio legítimo de una agencia gubernamental para enviar peticiones de información fraudulentas”. Tradúcelo: el remitente era de verdad, la petición no.

Por qué nadie discute una petición de emergencia

Existe una figura legal, la petición de datos de emergencia, que permite a la policía reclamar información a una empresa sin orden judicial cuando hay riesgo inminente para la vida o la integridad de alguien. La lógica es razonable: si un chaval acaba de anunciar un suicidio en una red social, nadie quiere esperar tres días a que un juzgado selle un papel.

El precio de esa lógica es que el procedimiento está diseñado para que la empresa no se pare a comprobar nada. La urgencia es el argumento y la prisa es el método. Y ahí es donde se cuela el ataque: si consigues escribir desde una dirección que la empresa reconoce como policial, te has saltado el único control que había, que era precisamente reconocer al remitente.

El correo era auténtico, y ese es justo el problema

Aquí está el detalle que convierte esto en algo más que una anécdota. El correo no venía de un dominio parecido, de esos con una letra cambiada que cazas si miras dos segundos. Venía del dominio real de la agencia, según Punto Informatico, porque esa agencia también había sido comprometida.

Eso significa que todas las comprobaciones automáticas que hace un servidor de correo daban verde. SPF, DKIM y DMARC —los tres mecanismos que verifican que un correo sale de donde dice salir— funcionaron exactamente como debían. Y funcionaron a favor del atacante, porque su trabajo es certificar el origen del mensaje, no la honradez de quien lo escribe.

Es un matiz que se pasa por alto todo el rato, también en las empresas que venden seguridad: la autenticación te dice quién manda algo, nunca si deberías hacerle caso. Son dos preguntas distintas y solo hay herramienta para la primera.

Qué se llevaron

No es un correo electrónico y un número de teléfono. Revolut reconoce que entregó identidad y datos de contacto, fecha de nacimiento, direcciones postales, correos, teléfonos y copias de documentos de identidad —pasaportes y carnés de conducir—, además de posibles fotos de verificación, extractos de cuenta e historiales de transacciones.

Párate en “fotos de verificación”. Son los selfies que te pide la aplicación cuando abres la cuenta, para comprobar que la cara coincide con el documento. Es decir: el paquete que se llevó el atacante contiene justo lo que hace falta para abrir cuentas a nombre de esa persona en otro sitio. Un documento de identidad caducado se renueva; tu cara y tu fecha de nacimiento, no.

Revolut habla de un número “limitado” de clientes y no da la cifra. El investigador ZachXBT, que fue quien destapó el asunto públicamente, apunta a que el objetivo eran usuarios con patrimonios altos. No está confirmado por la empresa, así que quédate con lo que sí lo está: alguien eligió a quién pedir, y se lo dieron.

Esto ya pasó, y con nombres más grandes

Si te suena, es porque es exactamente la misma película de 2022, cuando Apple, Meta y Discord entregaron datos de usuarios a peticiones de emergencia falsificadas. Los atacantes usaban cuentas de correo de departamentos de policía comprometidas, con firmas falsas y nombres reales de agentes. Discord llegó a explicar que su proceso de verificación confirmó que la cuenta policial era legítima —y lo era; estaba secuestrada—.

Detrás no había un servicio de inteligencia. Brian Krebs vinculó parte de aquellas peticiones a Lapsus$, y buena parte del asunto lo movían grupos de adolescentes y veinteañeros.

En noviembre de 2024 el FBI publicó un aviso advirtiendo de un repunte: delincuentes comprometiendo buzones de agencias estadounidenses y extranjeras para mandar estas peticiones. Cuatro años entre el primer caso sonado y el aviso oficial, y dos más hasta Revolut. El procedimiento sigue igual de abierto.

Lo que esto dice de tu empresa, aunque no seas un banco

La tentación es leerlo como un problema de fintechs y pasar página. Mal negocio. El mecanismo es genérico y no necesita que manejes cuentas bancarias: un canal de peticiones legítimo, una excusa de urgencia, y una persona con permiso para sacar datos y sin permiso real para decir que no.

Cambia “agencia gubernamental” por “el correo del gestor del banco”, “el despacho de abogados del cliente” o “la inspección de trabajo” y tienes el mismo ataque adaptado a una pyme de treinta personas. La versión con transferencias en vez de datos lleva años funcionando y tiene nombre propio: fraude del CEO.

Lo que se puede hacer no es tecnológico, que es justo por lo que casi nadie lo hace:

• Devolver la llamada por un canal que no sea el del mensaje. Si la petición llega por correo, se confirma por teléfono, y al número que aparece en la web oficial del organismo, no al que viene en la firma del correo.
• Que nadie pueda soltar un paquete de datos sensibles en solitario. Dos personas, o un registro que otra persona revise. La urgencia no elimina el segundo par de ojos: lo hace más necesario.
• Escribir el procedimiento antes de necesitarlo. A las tres de la mañana, con alguien metiendo prisa, no se improvisa criterio. O está en un documento o no existe.
• Dar por hecho que el remitente puede ser auténtico y el mensaje falso. Es lo contrario de lo que enseña la formación antiphishing de toda la vida, y es lo que ha pasado aquí.

El fallo de Revolut no fue técnico y no se arregla comprando nada. Fue de proceso: alguien recibió una orden creíble y la cumplió, que es exactamente lo que la organización esperaba de esa persona. Mientras la respuesta a estos casos siga siendo un comunicado diciendo que se ha bloqueado la dirección de correo, el próximo ya está escribiendo el suyo. Con buena ortografía y desde un dominio que pasa todas las comprobaciones.