Los atacantes responsables de una filtración de información confidencial de clientes de Revolut aumentaron la presión sobre el neobanco y comenzaron a divulgar datos sensibles de usuarios, mientras exigen un rescate de 10.000 Bitcoin (BTC) para cortar las publicaciones.
El incidente de seguridad, reportado inicialmente el 12 de septiembre, tomó una nueva dimensión luego que los presuntos responsables difundieran expedientes correspondientes a usuarios de alto perfil.
De esta forma, entre los afectados mencionados figuran el tenista Aleksandr Shevchenko y Felix Römer, director ejecutivo de la plataforma Gamdom.
Los atacantes amenazan con continuar publicando mensajes, bases de datos y detalles relacionados con las operaciones internas de Revolut si la compañía no acepta sus exigencias económicas, según un reporte difundido por la cuenta especializada International Cyber Digest.
Los delincuentes también acusaron a la entidad de actuar con negligencia en el manejo de información privada y cuestionaron el supuesto envío de datos sensibles a países ubicados fuera de su jurisdicción legal.
El equipo de investigación de CoinBureau, especializado en Bitcoin y criptomonedas, reveló que el monto exigido para detener las filtraciones asciende a 10.000 BTC.
El origen de la vulnerabilidad habría estado en una solicitud de información enviada desde una dirección de correo electrónico perteneciente a un dominio gubernamental legítimo.
La particularidad del episodio radicó en que el mensaje fue enviado desde una infraestructura estatal auténtica.
De esa forma, la comunicación consiguió superar tres mecanismos habituales de autenticación de correo electrónico como SPF, DKIM y DMARC.
Para los sistemas automatizados de Revolut, la solicitud presentaba las características de un requerimiento oficial, mientras que la compañía habría enviado los datos antes de verificar directamente con el organismo público correspondiente si la petición era legítima.
La maniobra permitió a los atacantes obtener información perteneciente a un grupo limitado de clientes y entre los datos comprometidos se encontrarían:
La información también habría incluido datos financieros de mayor sensibilidad, como números IBAN, registros de retiros e historiales de transacciones con Bitcoin.
Una vez detectada la maniobra, la firma contactó al organismo público cuya identidad fue utilizada para confirmar que la solicitud era fraudulenta y después comprobar el engaño, la compañía bloqueó la cuenta desde la que se había enviado el requerimiento.
La empresa informó además que notificó a los clientes afectados y comunicó el incidente a las autoridades policiales, los reguladores financieros y los organismos de protección de datos correspondientes.
Además, un portavoz de Revolut describió el episodio como una estafa externa de suplantación de identidad y resaltó que los sistemas centrales de la compañía y los fondos de sus clientes no fueron afectados.
El investigador especializado en blockchain ZachXBT, por su parte, sostuvo que la operación habría estado dirigida específicamente contra clientes de alto patrimonio neto.
El caso también abrió un debate sobre los procedimientos que utilizan las instituciones financieras para responder a solicitudes de información provenientes de organismos estatales.
Uno de los críticos más visibles fue Mark Karpelès, exdirector ejecutivo de Mt. Gox, quien cuestionó que Revolut hubiera entregado registros relacionados con bitcoin basándose en la procedencia de un correo electrónico.
Karpelès argumentó que el Reglamento General de Protección de Datos (RGPD) de la Unión Europea no contempla una excepción basada simplemente en la buena fe para justificar la cesión de información confidencial.
Asimismo, el ejecutivo señaló que la legislación bancaria de Lituania, país desde el cual se regula a Revolut, establecería un plazo de hasta 20 días para responder a determinados requerimientos y contemplaría el uso de canales previamente acordados.
Según su interpretación, esto impediría justificar una entrega inmediata de información sin una verificación independiente de la solicitud.
El incidente puso en jaque uno de los principales desafíos para las plataformas financieras digitales y la concentración, en una misma infraestructura, de documentos de identidad, información personal y registros detallados de actividad financiera.
Cuando esos datos quedan vinculados, una filtración puede generar un perfil extremadamente sensible de cada usuario, capaz de exponer no solo su identidad sino también sus movimientos financieros y comportamiento dentro de la plataforma.
El caso Revolut también evidenció que los sistemas técnicos de autenticación pueden resultar insuficientes frente a determinadas formas de ingeniería social.
Que un correo supere SPF, DKIM y DMARC permite verificar aspectos relacionados con su autenticidad técnica y el dominio remitente, pero no necesariamente demuestra que el contenido de la solicitud haya sido autorizado por la persona o institución que supuestamente la envía.
Mientras los atacantes amenazan con ampliar las publicaciones, queda por determinar: