Revolut confirma una brecha de datos tras recibir solicitudes falsas desde un dominio gubernamental legítimo
Revolut confirms customer data breach through fake government requests
Revolut confirmó que entregó información sensible de clientes a un tercero no autorizado tras recibir solicitudes fraudulentas enviadas desde el dominio de correo de una agencia gubernamental legítima. Los datos expuestos incluyen fechas de nacimiento, direcciones, teléfonos, pasaportes, licencias de conducir y posiblemente selfies de verificación y extractos bancarios. La fintech dice que un número "limitado" de clientes fue afectado, sin precisar cuántos ni qué agencia estuvo implicada. Revolut asegura que sus sistemas y los fondos de los clientes no se vieron afectados.
Revolut identificó recientemente una sofisticada estafa de suplantación externa en la que un tercero no autorizado utilizó el dominio de correo de una agencia gubernamental legítima para enviar solicitudes fraudulentas de información.
- neither_color
Tuve una experiencia interesante con mi tarjeta Revolut. Solo la recargo cuando viajo, y el resto del tiempo se queda casi vacía, con unos $3-4. En algún momento empecé a recibir notificaciones ocasionales sobre transacciones rechazadas. Cosas como puntos de videojuegos y tienditas aleatorias online. Claramente mi tarjeta ha sido clonada o filtrada de alguna manera. Qué fastidio.
Como faltan meses para mi próximo viaje, no cancelé la tarjeta de inmediato y la dejé activa por curiosidad. Empecé a bloquear cada comercio que intentaba cobrar. En algún momento, empecé a recibir intentos de suscripción a Netflix, y cuando intenté bloquearlo, decía: "No podemos bloquear pagos a Netflix. Si tienes una suscripción con ellos, puedes cancelarla directamente". Me hace preguntarme en qué clase de máquina de Rube Goldberg funciona su backend.
- hndhyc0bdt
Dirigí un escritorio de solicitudes de fuerzas del orden por un tiempo y todo el proceso eran PDFs de direcciones de correo tipo .gov. El único control real que teníamos era llamar a la agencia de vuelta a un número que buscábamos nosotros mismos, no al que aparecía en el membrete.
- rawland
¿Cómo puede pasarle esto a una fintech moderna... ¿Especialmente manejando la verificación de identidad tan mal?
> Un portavoz de Revolut confirmó a TechCrunch que un número "limitado" de clientes se vio afectado y dijo que la empresa había contactado directamente a esos clientes. Sin embargo, Revolut no reveló el número exacto de personas afectadas. Tampoco respondió si el incidente se limitó a un mercado específico y se negó a revelar la agencia gubernamental involucrada.
¿La falta de transparencia aquí es para proteger a las personas de alto patrimonio neto doxxeadas o solo están tratando de ocultar la incompetencia?
- tdrz
Esta es una de las respuestas que recibí durante mi conversación con su agente (no sé si humano o automatizado):
"Sus datos personales deben conservarse hasta que sea lícito eliminarlos de acuerdo con la ley. Tenga la seguridad de que están totalmente seguros y solo se conservan para este propósito".
Esto fue en la misma conversación en la que les envié el artículo.
- codedokode
Esto es un recordatorio de lo que les pasa a las personas que suben felizmente su pasaporte y selfies a la app. No lo hagas si no quieres terminar en foros clandestinos rusos.
- janandonly
Almacenar datos de identificación (como un pasaporte escaneado) no es necesario. La pregunta es "¿verificaste la identidad del cliente?" Y si la respuesta es Sí, entonces puedes marcarlo como tal. No necesitas almacenar esos escaneos en absoluto.
- autotune
Perdí el acceso a mi cuenta de Revolut hace un tiempo y la recuperación no funcionó después de perder el acceso a mi dirección de correo principal y al MFA. También eliminaron la posibilidad de depositar cheques en su app móvil. Por estas razones ya no puedo tratarlo como un banco real, por mucho que me encante su tasa de ahorro del 4% APY. A diferencia de Gmail, que tenía opciones de recuperación con una dirección de correo secundaria. Podrían haber implementado algo similar.
- hrpnk
Incluso si el desencadenante fue suplantado, ¿cómo es que no hay un canal seguro que el gobierno proporcione para recibir los datos? ¿También estaba comprometido?