Revolut ha sido hackeada: el problema no han sido las contraseñas, sino el condenado phishing

Desde su creación en 2015, el neobanco llamado Revolut ha ido ganando más y más relevancia como alternativa financiera para muchos usuarios. Es de hecho una de las startups británicas que más ha crecido —su valoración en 2021 era de 33.000 millones de dólares—, pero ese éxito la convierte también en objetivo de ciberataques. Uno de ellos ha tenido éxito y un ciberdelicuente ha logrado hackear Revolut, aunque de forma limitada.

Qué ha pasado. La semana pasada usuarios de Revolut indicaron que habían recibido un mensaje confirmando una intrusión en sus sistemas. "Un tercero no autorizado puede haber ganado acceso a parte de tu información durante un corto periodo de tiempo", explicaban. Los responsables de Revolut "detectaron y aislaron" el problema, y comenzaron a ponerse en contacto con los afectados.

Cuánta gente se ha visto afectada. Según el mensaje, el hackeo afectó a un 0,16% de sus clientes. El organismo de inspección de protección de datos el Lituania, donde Revolut tiene una sede, indicaba además que la empresa había confirmado que en todo el mundo la cifra de afectados era de 50 150, mientras que en la Área Económica Europea ese número era de 20 687. Solo los afectados han recibido un correo indicándoles que cambien su contraseña: si eres cliente y no te ha llegado nada, puedes estar tranquilo, ya que ese ataque no logró filtrar tus datos.

Qué datos se han robado. En el hackeo ese ciberdelincuente logró acceder a nombres completos, direcciones postales, números de teléfono y correo electrónico de esos usuarios. Además tuvo acceso a datos parciales de las tarjetas de pago —el número completo está codificado—, así como a datos de la cuenta (pero no de la tarjeta). No ha habido acceso a PIN o a contraseñas, y en Revolut aseguran que el dinero está a salvo. "No se accedió a los fondos ni fueron robados. Tu dinero está seguro, como siempre", indicaban en el mensaje a sus usuarios afectados.

Maldito phishing. Como nos han comunicado desde Revolut, uno de sus empleados fue víctima de una estafa de phishing mediante ingeniería social. Eso permitió a un tercero acceder a algunos de sus sistemas internos y de ahí provino el robo de datos. El ataque no afectó a los usuarios, por tanto, algo que sí ha sucedido en otros casos.

En Xataka

Enviar tu DNI tal cual es peligrosísimo: estos tres consejos minimizan los riesgos para hacer compras o reservas

Un ataque que vuelve a ponernos alerta. El caso es desde luego pequeño en comparación con otros ciberataques —Uber fue hackeada a lo grande en esas mismas fechas—, y de nuevo aquí saltan las alarmas sobre todo al tratarse de una entidad financiera que maneja nuestro dinero. Una vez más conviene recordar que no hay que fiarse de correos, WhatsApps o SMS extraños que dicen provenir de entidades de las que somos clientes. Ante la duda, mejor no hacer nada, y es buena idea llamar a esas entidades para confirmar que se han querido poner en contacto con nosotros.

Actualización (21/09/2022): Tema editado para reflejar que el phishing no afectó a los usuarios de Revolut, sino a un empleado de la empresa que fue víctima del ciberataque y a través del cual se logró acceder a esos datos limitados.

Imagen: Sophie Dupau