Hackers exigen 780 millones de dólares en Bitcoin a Revolut tras una brecha de datos

Revolut confirmó el 12 de septiembre que reveló datos confidenciales de clientes a un tercero no autorizado tras recibir solicitudes fraudulentas desde una dirección de correo electrónico con un dominio gubernamental legítimo, en lo que la fintech califica como una "sofisticada estafa de suplantación externa". Los atacantes han comenzado a publicar los registros robados y exigen un rescate de 10,000 Bitcoin ↗ 0.01% —aproximadamente 780 millones de dólares— amenazando con liberar más datos diariamente si Revolut no paga.coincentral+3

La brecha afectó a aproximadamente 680 clientes en varios países, incluidos 12 en Irlanda, 25 en España y 27 en Rumanía, según informes del Financial Times recogidos por Investing.com. La Oficina del Comisionado de Información del Reino Unido confirmó que recibió un informe de Revolut y está evaluando el incidente, mientras que la Autoridad de Conducta Financiera señaló que está colaborando con la empresa.insurancebusinessmag+2

Qué fue expuesto

Los datos entregados fueron inusualmente exhaustivos para un solo incidente. Según CoinDesk, los archivos incluían pasaportes o licencias de conducir, selfies de verificación, nombres, fechas de nacimiento, ocupaciones, direcciones, correos electrónicos, números de teléfono, IBAN, estados de cuenta, registros de retiro e historiales completos de transacciones, incluyendo toda la actividad en Bitcoin. La propia notificación de Revolut a los clientes confirmó este alcance.helpnetsecurity+2

La combinación de documentos de identidad y datos de transacciones de Bitcoin es lo que distingue a esta brecha. Las transacciones de Bitcoin son visibles públicamente en la cadena de bloques pero son seudónimas; vincular referencias de billeteras con un nombre verificado y un escaneo de pasaporte elimina efectivamente ese seudonimato, convirtiendo a los clientes afectados en objetivos potenciales de phishing, extorsión o algo peor.coindesk+1

Cómo funcionó la estafa

Nadie irrumpió en los servidores de Revolut. El atacante envió solicitudes de datos desde lo que parecía ser un dominio de correo electrónico de una agencia gubernamental genuina. Los mensajes superaron las comprobaciones de autenticación técnica de Revolut (SPF, DKIM y DMARC) y fueron procesados como solicitudes estándar de cumplimiento legal. Revolut solo descubrió el fraude tras contactar por separado a la agencia y enterarse de que las solicitudes no eran legítimas.coindesk+2

El ex CEO de Mt. Gox, Mark Karpelès, señaló en redes sociales que un archivo publicado por los atacantes parecía ser un correo electrónico original enviado a través del sistema de correo certificado PEC de Italia, que las autoridades italianas utilizan para correspondencia legal oficial. Cybernews informó que el hacker afirmó que la brecha duró seis meses.x

"La mayoría de los ataques exitosos que afectan a nuestros asegurados provienen de errores humanos", dijo Simon Hughes, director comercial de Cowbell Cyber, a Insurance Business. "Hacer clic accidentalmente en un enlace, responder accidentalmente a alguien a quien no deberías".insurancebusinessmag

Extorsión y consecuencias

Los atacantes han reivindicado la responsabilidad en Telegram y han comenzado a publicar registros robados, incluidos documentos de identidad pertenecientes al tenista Alexander Shevchenko y al CEO de Gamdom, Felix Römer, según International Cyber Digest. La demanda de 10,000 BTC sigue sin ser confirmada por Revolut, que se ha negado a comentar sobre la extorsión.cryptoticker+2

Revolut, que atiende a más de 80 millones de clientes y fue valorada en 115,000 millones de dólares en una venta secundaria de acciones a principios de este año, ha subrayado que sus sistemas bancarios centrales y los fondos de los clientes no fueron comprometidos. Pero para las aproximadamente 680 personas cuyos pasaportes y selfies biométricos circulan ahora en línea, esa distinción ofrece un consuelo limitado.reuters+1