Índice de contenidos
Claves de la noticia
- Un grupo que se atribuye el acceso reclama públicamente 3 millones de dólares y amenaza con vender los expedientes.
- Revolut sostiene que no ha recibido contacto ni una demanda directa de quienes formulan el ultimátum.
- Unos 680 clientes habrían quedado afectados: una fracción mínima de la base total, pero con datos de gran sensibilidad.
La exposición de información de clientes de Revolut ha entrado en una fase distinta. Ya no se trata solo de solicitudes fraudulentas enviadas desde un dominio gubernamental legítimo: ahora existe un ultimátum público de 3 millones de dólares y víctimas que temen que sus documentos, domicilios y movimientos financieros faciliten ataques dirigidos. La entidad recalca que sus sistemas centrales y los fondos no fueron comprometidos.
Un ultimátum público, pero no una negociación
El grupo que se hace llamar IAmNotAVillain publicó una exigencia de 6.000 monero, equivalente a unos 3 millones de dólares en el momento descrito por la reportería, junto a un contador de 24 horas. Según Reuters, los supuestos atacantes amenazaron con vender los registros a otras organizaciones criminales. La atribución y la posesión completa del material siguen dependiendo de lo que afirma el propio grupo.
Hay una diferencia decisiva entre esa publicación y una negociación acreditada. Un portavoz de Revolut declaró que la empresa no había recibido contacto ni demanda directa de las personas que se atribuyen el incidente. El ultimátum existe como mensaje público, pero no prueba por sí mismo que el grupo controle todo lo que asegura ni que haya abierto un canal con la entidad.
The Guardian informó de que los atacantes mostraron a un tercero un vídeo de aproximadamente un minuto con una colección de documentos y alegaron poseer 147 GB. Esas dos afirmaciones no han sido verificadas de manera independiente. Revolut sí reconoce el hecho de fondo: un tercero no autorizado utilizó una cuenta de correo perteneciente al dominio legítimo de una agencia gubernamental para remitir peticiones de información falsas.
El alcance pequeño oculta expedientes muy densos
La cifra publicada ronda los 680 afectados frente a más de 80 millones de clientes globales. Un cálculo directo —680 dividido entre 80 millones y multiplicado por cien— arroja aproximadamente un 0,00085 % de la clientela. El porcentaje es diminuto, pero resulta engañoso si se usa como única medida de gravedad.
Las notificaciones y declaraciones recogidas por los medios incluyen nombres, fechas de nacimiento, direcciones postales y electrónicas, teléfonos, copias de pasaportes o permisos de conducir y fotografías de verificación. También podrían figurar IBAN, extractos, retiradas y el historial completo de transacciones, incluidas operaciones con bitcoin. En conjunto, no es una lista de correos: es un expediente capaz de unir identidad legal, localización, apariencia y patrimonio.
| Indicador | Dato publicado | Lectura útil |
|---|---|---|
| Personas afectadas | Unas 680 | Alcance muy acotado |
| Peso sobre la clientela | ≈ 0,00085 % | No describe la severidad individual |
| Tipos de información | Identidad, domicilio, biometría y finanzas | Alta concentración de riesgo por expediente |
La conclusión que permite esa comparación es concreta: una brecha pequeña puede concentrar un riesgo extraordinario. Una base de millones de correos facilita campañas masivas; unos cientos de expedientes enriquecidos permiten seleccionar objetivos, personalizar engaños y, si contienen domicilios y patrimonio, trasladar la amenaza fuera de internet.
Del fraude digital al temor por la seguridad física
Mark Karpelès, antiguo responsable de Mt. Gox y uno de los afectados que habló con The Guardian, explicó que su dirección figura entre los datos y que teme por su familia. También relató que otro supuesto atacante habría pedido 50.000 dólares para borrar la información de una víctima. Es un testimonio atribuido, no una confirmación de que exista una única banda ni de que pagar garantice la eliminación.
El riesgo práctico no termina en el acceso a una cuenta bancaria. Un delincuente que conozca el documento, el teléfono, el domicilio y transacciones reales puede construir comunicaciones mucho más creíbles. La exposición también puede alimentar llamadas fraudulentas, un vector que se complica con las voces sintéticas usadas en llamadas de IA. Ninguno de esos escenarios demuestra que cada afectado vaya a sufrir un fraude, pero sí justifica tratar los contactos posteriores como potencialmente hostiles.
Revolut afirma que bloqueó la dirección utilizada, avisó a la agencia suplantada y contactó con fuerzas de seguridad, reguladores financieros y autoridades de protección de datos. También mantiene que las cuentas y el dinero de los clientes no se vieron afectados. Esa precisión importa: la vía descrita fue una entrega engañosa de datos, no una intrusión confirmada en el núcleo bancario.
Qué debe recibir un cliente afectado en España
La Agencia Española de Protección de Datos señala que, cuando una brecha puede entrañar un riesgo alto, la comunicación debe llegar sin dilación y en lenguaje claro. Debe incluir el contacto del delegado de protección de datos, una descripción del incidente, sus posibles consecuencias, los datos afectados, las medidas adoptadas y recomendaciones útiles para reducir daños.
Ese marco ofrece una lista de comprobación más útil que el contador de la extorsión. Un cliente notificado debería conservar el aviso, pedir precisión sobre las categorías concretas expuestas y vigilar intentos de contacto que citen datos auténticos. Si aprecia indicios de suplantación, puede documentarlos y acudir a las fuerzas de seguridad; si considera insuficiente la respuesta sobre sus datos, puede ejercer sus derechos ante la entidad y recurrir después a la autoridad competente.
No haber recibido una notificación directa es un indicio relevante, pero no autoriza a concluir por cuenta propia que todos los datos están a salvo mientras la investigación siga abierta. A la inversa, el incidente tampoco implica que los 80 millones de clientes deban cambiar documentos o cerrar cuentas. La respuesta proporcionada consiste en distinguir entre la población general y quienes Revolut identifica como afectados, sin bajar la guardia ante mensajes que exploten el caso.
La autenticidad del remitente no basta
El episodio expone un fallo de confianza entre instituciones, no solo un problema de correo fraudulento. Un mensaje puede proceder de un dominio gubernamental real y seguir siendo ilegítimo si la cuenta ha sido comprometida o la solicitud carece de autorización. Para peticiones capaces de revelar expedientes completos, la verificación necesita un segundo canal y controles sobre identidad, competencia legal y alcance.
Quedan abiertas preguntas esenciales: qué organismo fue comprometido, cuántas solicitudes se procesaron, durante cuánto tiempo, qué categorías recibió cada tercero y si los archivos mostrados pertenecen al mismo grupo que lanzó el ultimátum. Hasta que haya respuestas verificables, conviene separar tres niveles: Revolut confirma la divulgación engañosa; la cifra de unos 680 afectados procede de fuentes conocedoras del caso; y la extorsión, el volumen de 147 GB y la amenaza de venta son afirmaciones de quienes se atribuyen el acceso.
