En lo que se perfila como uno de los incidentes de gestión de riesgos y comunicación corporativa más deplorables del año para el sector fintech, Revolut ha confirmado la divulgación no autorizada de información altamente confidencial de sus clientes.
El incidente no fue resultado de una brecha en sus servidores ni de un ataque informático complejo a su infraestructura, sino de una falla sistémica en sus protocolos de verificación interna por lo que la empresa entregó voluntariamente expedientes financieros e identidades tras ceder ante solicitudes fraudulentas enviadas desde un dominio de correo electrónico perteneciente a una agencia gubernamental legítima.
La gravedad del evento escala al observar el manejo de crisis por parte del neobanco con sede en Londres, ya que mientras la empresa busca una ambiciosa salida a bolsa (IPO, «por sus siglas en inglés») que podría valorarla en hasta 200.000 millones de dólares, su departamento de comunicación ha optado por el silencio en sus canales institucionales públicos.
Del mismo modo, al momento de redactar este artículo sus cuentas oficiales en redes sociales han reaccionado bloqueando a investigadores de ciberseguridad que sacaron a la luz el alcance real del incidente.
De acuerdo con las notificaciones enviadas directamente a los clientes afectados, el ataque de ingeniería social contra Revolut utilizó una cuenta de correo no autorizada dentro del dominio oficial de una entidad gubernamental real.
La comunicación contaba con credenciales de autenticación de dominio válidas (tales como registros SPF, DKIM o DMARC correctamente configurados en el origen), lo que llevó al equipo de compliance y legal de Revolut a procesar la entrega de información bajo la premisa de que respondían a un mandato judicial o legal auténtico.
La información filtrada a los atacantes va mucho más allá de datos de contacto convencionales, ya que los expedientes entregados por Revolut incluyen: Datos de identidad y contacto con nombres completos, fechas de nacimiento, ocupación, direcciones postales, correos electrónicos y números telefónicos.
También la documentación KYC con contiene copias de pasaportes, licencias de conducir e imágenes de verificación facial (selfies de autenticación) y cosas más privadas como el historial financiero con extractos de cuenta detalladas con códigos IBAN, fechas de apertura, saldo, historial completo de transacciones —con especial énfasis en operaciones con Bitcoin— y registros detallados de retiros.
El hecho de que la entrega incluyera registros específicos de activos digitales sugiere que el ataque no fue aleatorio, sino una “operación de ingeniería social quirúrgica y de muy alto nivel” dirigida a usuarios de alto patrimonio neto (High-Net-Worth Individuals) y perfiles vinculados a la industria cripto.
A pesar de la magnitud de la filtración, Revolut no emitió comunicados proactivos en su blog oficial ni en sus perfiles públicos de redes sociales, de manera que el público y la comunidad financiera conocieron los detalles del caso únicamente gracias a las filtraciones de las propias víctimas y de analistas independientes.
Revolut customers were targeted in a fraudulent emergency data request sent via an email at a «government agency.» https://t.co/sS2sbwAt8r
— Mark Karpelès (@MagicalTux) September 12, 2026
Uno de los primeros en alertar públicamente sobre la notificación fue Mark Karpelès, ex CEO de Mt. Gox y usuario afectado, quien publicó en la red social X el texto íntegro del correo enviado por Revolut.
En su publicación, Karpelès subrayó la peligrosa opacidad de la empresa al no especificar cuál fue la agencia gubernamental suplantada, advirtiendo que otros bancos o plataformas cripto podrían estar recibiendo solicitudes maliciosas bajo el mismo vector de ataque.
Por su parte, el reconocido investigador on-chain ZachXBT difundió los detalles en su canal de análisis que posee en Telegram, destacando que el incidente parecía ser un ataque altamente focalizado.
Idk why I am blocked by both Revolut accounts. pic.twitter.com/wLd3IdmSF9
— ZachXBT (@zachxbt) September 12, 2026
La respuesta de Revolut ante el trabajo del analista de ciberseguridad fue fulminante y desconcertante: las cuentas oficiales @Revolut y @RevolutSupport procedieron a bloquear a ZachXBT en la plataforma X.
Esta reacción —hacer silencio público y bloquear a los fiscalizadores independientes de la industria— refleja una deficiencia severa en la gestión de reputación y control de daños, transformando un fallo operativo de compliance en una crisis de confianza institucional.
No obstante, otros medios que tuvieron acceso al portavoz de Revolut recibieron la confirmación del ataque de ingeniería social que recibió el neobanco, el cual según este portavoz afectó a un número limitado de clientes y que la empresa se había puesto en contacto directamente con ellos.
Sin embargo, el portavoz de Revolut no ha revelado aún el número exacto de personas afectadas y tampoco aclaró si el incidente se limitó a un mercado en particular de los varios en los que opera el neobanco europeo, además, de negarse a revelar la agencia gubernamental involucrada y de qué país era.
El incidente de Revolut pone de relieve un punto ciego crítico en la regulación del cumplimiento normativo de las instituciones financieras modernas, ya que durante años, los marcos de prevención de blanqueo de capitales (AML) y las normativas Know Your Customer (KYC) han obligado a las plataformas digitales a recolectar y almacenar volúmenes masivos de datos biométricos y financieros de sus usuarios.
Sin embargo, los procedimientos para validar la autenticidad de las peticiones de las fuerzas del orden (Law Enforcement Requests) continúan dependiendo, en muchos casos, de la verificación manual de correos electrónicos.
Si una firma del volumen de Revolut —con más de 80 millones de usuarios y licencias bancarias en plena expansión— operando como banco en más de 30 países, puede ser inducida a entregar historiales de transacciones en Bitcoin y documentos de identidad simplemente porque un correo proviene de un dominio oficial, el principio de custodia segura de datos queda gravemente cuestionado.
La combinación de datos expuestos coloca a las víctimas en un riesgo extremo de sufrir ataques de phishing altamente sofisticados, extorsiones directas e intentos de suplantación de identidad en otras instituciones financieras.
Mientras las autoridades de protección de datos del Reino Unido y la Unión Europea inician las investigaciones pertinentes, la postura de Revolut demuestra que los riesgos de la centralización de datos KYC no solo residen en vulnerabilidades técnicas de la red, sino en la fragilidad de los procesos humanos que gestionan el acceso a la información confidencial.