La filtración KYC de Revolut ha expuesto selfies e historiales de bitcoin tras un correo fraudulento enviado desde un dominio gubernamental auténtico. La fintech confirmó el 12 de septiembre de 2026 que entregó documentos de verificación de identidad y transacciones de criptoactivos a un tercero no autorizado.
La notificación a clientes afectados, que empezó a circular el 11 de septiembre, recoge un matiz incómodo: el mensaje llegó con credenciales válidas de autenticación de dominio, es decir, pasó los controles SPF, DKIM y DMARC que deberían confirmar que procedía de una autoridad gubernamental. Según Revolut, la solicitud parecía legítima y se tramitó ‘bajo la creencia razonable’ de que era auténtica.
Lo relevante no es lo que falló, sino lo que no hizo falta vulnerar. No hubo malware, ni acceso externo a servidores, ni brecha técnica clásica. El atacante creó una cuenta dentro del dominio de una agencia gubernamental o comprometió una existente. Desde ahí envió la petición de información. Revolut solo descubrió el fraude después, al contactar de forma independiente con la agencia para verificar la solicitud.
No hizo falta malware.
La compañía bloqueó la dirección de correo, alertó a la agencia suplantada, notificó a las fuerzas de seguridad y reportó el incidente a los reguladores financieros. No ha querido identificar de qué agencia se trata ni precisar en qué país se produjo. Le pongo en contexto: esa omisión no es menor, porque otras fintechs no podrán rastrear si recibieron peticiones similares desde el mismo buzón.
La autenticación del dominio validó el remitente, pero no la intención: el proceso confundió un buzón oficial con una orden legítima.
Revolut asegura que sus sistemas y los fondos de los clientes no resultaron afectados. Técnicamente es cierto. La lectura de inteligencia es otra: los atacantes no necesitaron tocar la infraestructura de Revolut para obtener exactamente lo que buscaban.
Por qué los datos KYC entregados valen más que el bitcoin
El paquete entregado incluye nombre completo, fecha de nacimiento, ocupación, dirección postal, correo electrónico, teléfono, copia del pasaporte o carné de conducir y la selfie de verificación. También incluye extractos de cuenta, IBAN, historial de retiradas y el historial completo de transacciones, incluido el bitcoin. Revolut aclara que no se vieron comprometidos datos biométricos faciales.
La combinación de identidad civil, documento escaneado, selfie y movimientos de criptoactivos es un expediente perfecto para fraude, suplantación o extorsión. No se trata de una oleada masiva, sino de una operación dirigida a perfiles de alto patrimonio. Al menos así lo valora el investigador de criptoseguridad ZachXBT, que detectó a usuarios bloqueados por Revolut y concluyó que el objetivo parecía ser construir perfiles detallados de grandes inversores.
Cosas que pasan en 2026.
Dossier Moncloa: Ojos en la Sombra
En mi lectura, el vector de amenaza es una suplantación de solicitud legal mediante un dominio gubernamental autenticado y una cuenta de correo real. No es phishing clásico; es un abuso de confianza contra un proceso administrativo. El atacante no explotó una vulnerabilidad zero-day ni rompió criptografía. Explotó la presunción de legitimidad que otorgan SPF, DKIM y DMARC.
En el plano de agencias, no se puede atribuir todavía a un servicio de inteligencia concreto. Puede tratarse de un atacante financiero sofisticado, de una célula de cibercrimen con acceso a infraestructura gubernamental o de una operación de Estado contra inversores en criptoactivos. La agencia suplantada es una víctima y Revolut es la defensora fallida. Los terceros observadores son el resto de fintechs y los reguladores europeos. En España, el CCN-CERT lleva años alertando del abuso de dominios oficiales en campañas de suplantación; este incidente debería reabrir esa conversación.
No hablamos de material clasificado de un Estado. Hablamos de datos personales sensibles —nivel ‘Sin Clasificar pero Sensible’— que en manos equivocadas permiten suplantar identidades, abrir cuentas y rastrear tenencias de bitcoin. A juzgar por la naturaleza del expediente, la exposición afecta a la privacidad financiera y documental de los clientes, no a secretos oficiales.
El precedente más parecido es el abuso de solicitudes legales que varias grandes tecnológicas denunciaron hace años: cuentas policiales o gubernamentales utilizadas para pedir datos a plataformas sin que mediara una orden judicial real. En todos esos casos, la autenticación del dominio validó al remitente, pero no la intención del que estaba detrás.
Reconozco que la atribución es incierta: sin conocer la agencia ni el país, no podemos descartar que se trate de una cuenta legítima comprometida por un empleado o por un atacante externo. Revolut tampoco ha detallado el alcance. La ausencia de atribución pública es al mismo tiempo una medida de seguridad y un agujero de inteligencia para el resto del sector.
El próximo movimiento relevante será la comunicación de los reguladores financieros y, quizá, la publicación de alertas de otras plataformas que hayan recibido peticiones del mismo buzón. Si usted dirige una fintech, conviene que revise hoy sus procesos de verificación de solicitudes legales, no vaya a ser que la próxima notificación de filtración KYC la firme su propio dominio.
