Revolut entregó pasaportes y selfis a alguien que fingía ser un organismo público
A Revolut no la hackearon. Eso es justo lo que hace que valga la pena leer este caso.
El lunes el banco confirmó que alguien le escribió pidiendo expedientes de clientes haciéndose pasar por un organismo público, y que los envió. La solicitud llegó desde un dominio gubernamental auténtico y superó las comprobaciones que deberían demostrar que un correo es lo que dice ser, así que el personal la trató como papeleo rutinario. Lo que salió no era una lista de direcciones de correo. Eran escaneos de pasaportes y carnés de conducir, los selfis que uno se hace al verificar la cuenta, fechas de nacimiento, domicilios, profesiones, números de teléfono, extractos con el IBAN, registros de retiradas e historiales completos de operaciones, cripto incluida.
Revolut sostiene que solo afecta a "un número limitado" de clientes, que sus sistemas nunca fueron tocados y que el dinero de nadie se movió. Bloqueó la dirección en cuanto lo detectó y avisó al organismo implicado, a las fuerzas del orden, a protección de datos y a los reguladores financieros. Quienes tienen los datos se han mostrado menos comedidos. Han publicado muestras en grupos de Telegram y piden 10.000 bitcoines, unos 780 millones de dólares, con la amenaza de difundir más cada día hasta que Revolut pague. El investigador de cripto ZachXBT calcula que el objetivo eran sobre todo titulares de cuentas con patrimonio alto.
Y aquí está lo que importa a todos los demás. El escaneo de un pasaporte junto al selfi que le corresponde es exactamente el paquete que hace falta para abrir cuentas a su nombre o para convencer a un agente de soporte de que restablezca un acceso. Además, quien le llame ahora diciendo que es de Revolut puede recitarle sus últimos movimientos, que es precisamente lo que hace funcionar una falsa llamada del departamento antifraude. Ningún banco le telefoneará para pedirle que mueva su dinero a una "cuenta segura": cuelgue y use el chat de la aplicación. La comprobación de privacidad y cuentas de Tendvane repasa los ajustes de inicio de sesión y recuperación de su PC, que es la otra puerta que esta gente prueba a continuación.