Los hackers responsables de la reciente brecha de datos en la plataforma fintech global Revolut amenazaron con vender la información robada a otros grupos criminales si no reciben los 200 bitcoins que exigen en un plazo de 24 horas. La empresa ha dicho que el incidente se originó en un esquema fraudulento de suplantación de identidad y no en una vulneración directa de sus sistemas, y que no tiene intención de pagar un rescate.

Los hackers exigen 6,000 XMR

El grupo detrás del ataque, que se hace llamar "iamnotavillain", publicó su exigencia en línea junto con un reloj de cuenta regresiva, según el Financial Times. Solicitó 6,000 XMR, una suma valorada en aproximadamente 3 millones de dólares al momento del reporte. Los plazos con cuenta regresiva son una táctica de presión habitual en intentos de extorsión, diseñados para comprimir la ventana de decisión del objetivo.

La elección de Monero es destacable en un caso de extorsión en el ámbito de las criptomonedas. A diferencia de la red de Bitcoin, donde las transacciones pueden verse abiertamente en la cadena, Monero está diseñado para ofrecer mayor privacidad en las transacciones, lo que hace que los pagos sean sustancialmente más difíciles de rastrear. Ese enfoque en la privacidad explica por qué las monedas de privacidad han sido una elección recurrente para pagos de extorsión.

Según el Financial Times, los hackers declararon que no hubo comunicación con Revolut hasta el momento en que se publicó la exigencia. El grupo también difundió un breve video que parecía ser una captura de pantalla de los datos de clientes presuntamente recilados durante el incidente.

Unos 680 cuentas de clientes afectadas

Se reportó que fueron robados datos presuntamente vinculados a unos 680 cuentas de clientes en la brecha. Revolut ha declarado que el incidente no involucró una vulneración directa de sus sistemas centrales, bases de datos o cuentas de clientes. En cambio, los atacantes presuntamente enviaron solicitudes falsas utilizando una aplicación de correo electrónico conectada a una entidad gubernamental real. Las solicitudes se presentaron como peticiones oficiales de negocios, y Revolut entregó los registros antes de determinar que eran fraudulentos. Suplantar un canal oficial para engañar a una organización y hacer que entregue datos es un vector reconocido de ingeniería social que no requiere comprometer la infraestructura de una empresa.

El material expuesto incluyó, según lo reportado, pasaportes, licencias de conducir, imágenes de verificación de identidad e historiales de transacciones. Información adicional en algunos de los registros estaba vinculada a transacciones de criptomonedas de los clientes. A diferencia de una contraseña comprometida, los documentos de identidad no se pueden restablecer, razón por la cual el material de verificación filtrado puede conservar valor para los criminales mucho después del incidente inmediato.

Revolut dijo que bloqueó la dirección en cuestión e informó al organismo gubernamental correspondiente, a las autoridades policiales y al regulador.

Las criptomonedas ayudaron a los atacantes a elegir objetivos

El presunto uso de análisis de blockchain introduce un elemento cripto distintivo en la brecha. Los hackers presuntamente estudiaron transacciones de blockchain para descubrir qué usuarios de Revolut se sospechaba que tenían grandes cantidades de criptomonedas.

Si bien una blockchain pública puede mostrar actividad de billeteras y flujos de transacciones, generalmente se requiere considerablemente más información de un exchange o servicio financiero para vincular una dirección de blockchain con una persona específica. En este caso, la combinación de datos de transacciones de blockchain y registros robados de clientes podría ofrecer a un atacante un panorama claro de la identidad y los activos cripto de un usuario. Los detalles sobre la selección de objetivos no han sido verificados por terceros. El episodio ilustra por qué los exchanges y las plataformas fintech consideran la combinación de registros de identidad con actividad en cadena como uno de los datos más sensibles que poseen.

Revolut rechaza contacto directo sobre el rescate

Existe una discrepancia entre lo que los atacantes anunciaron y lo que Revolut ha reportado. La empresa dijo que no recibió contacto directo del grupo que se atribuye la responsabilidad y que no tiene intención de pagar ningún rescate. Revolut añadió que los clientes afectados están siendo apoyados y describió el incidente como el resultado de un esquema externo de suplantación de identidad.

Ahora la atención se centra en si el grupo cumplirá su amenaza declarada una vez que venza el plazo, y en lo que surja de las notificaciones a las autoridades policiales y reguladores que Revolut dice haber realizado.

La filtración destaca una preocupación específica para los usuarios del espacio cripto: los datos de identidad personal, al combinarse con detalles financieros relacionados con la blockchain pueden resultar particularmente útiles para los criminales. Esta información puede aprovecharse para phishing dirigido, suplantación de identidad o nuevos intentos de acceso a activos digitales.