Historia
septiembre 16, 2026
Correos electrónicos gubernamentales falsos engañaron a Revolut para que revelara datos de clientes
Revolut presenta el episodio como una estafa externa de suplantación de identidad, en lugar de una vulneración de sus propios sistemas, mientras que la escala y la sensibilidad de los registros divulgados subrayan lo perjudicial que puede ser para los clientes un engaño convincente mediante correo electrónico gubernamental.
Revolut ha confirmado que los estafadores persuadieron a la empresa fintech para divulgar datos de clientes mediante el envío de solicitudes de información fraudulentas desde el dominio de correo electrónico de una agencia gubernamental legítima — un ataque que eludió la confianza, no sus defensas técnicas.
El episodio salió a la luz el viernes por la noche, cuando el investigador de seguridad cripto ZachXBT publicó información sobre un correo electrónico enviado a los clientes afectados. El investigador dijo que los aparentes objetivos eran usuarios de alto patrimonio neto, lo que elevaba la gravedad de lo que Revolut inicialmente caracterizó como un incidente limitado.1
Según la notificación a clientes revisada por TechCrunch, el material divulgado incluía datos de identidad y contacto — fechas de nacimiento, direcciones postales y de correo electrónico, y números de teléfono — junto con copias de pasaportes o permisos de conducir. Revolut advirtió que también podrían haberse incluido selfies de verificación, extractos de cuenta e historiales de transacciones.1
Revolut afirmó que las solicitudes procedían de un tercero no autorizado que utilizaba el dominio real de una agencia gubernamental. «Revolut identificó recientemente una sofisticada estafa externa de suplantación de identidad en la que un tercero no autorizado utilizó el correo electrónico de un dominio legítimo de una agencia gubernamental para presentar solicitudes de información fraudulentas», dijo un portavoz.1
La empresa afirmó que bloqueó la dirección de correo electrónico infractora tras descubrir el fraude, contactó a los clientes afectados y alertó a la agencia pertinente, a las fuerzas del orden y a los reguladores. Se negó a identificar a la agencia, a decir si estuvo implicado un solo mercado o a revelar un número exacto de víctimas. Su garantía principal fue inequívoca: «Los sistemas de Revolut y los fondos de los clientes no se han visto afectados».1
Esa tranquilidad contrasta con una estimación más preocupante: según informes, Revolut entregó a los estafadores los datos de casi 700 clientes.2 Para una empresa con más de 80 millones de usuarios y crecientes ambiciones bancarias, el incidente recuerda que una bandeja de entrada con apariencia fiable puede ser tan trascendental como una red comprometida.