Hackers que afirman ser responsables de una filtración de datos en Revolut, una de las mayores empresas de tecnología financiera del Reino Unido, han exigido un rescate de 3 millones de dólares en Monero y amenazado con vender información confidencial de cientos de clientes, según informes, aunque el banco digital dijo que no ha recibido ninguna demanda de rescate directa.

El grupo, que se hace llamar "iamnotavillain", habría dado a Revolut 24 horas para pagar 6.000 tokens Monero, valorados en unos 3 millones de dólares, o vendería la información robada a otros grupos criminales. El ultimátum fue publicado en línea junto con una cuenta regresiva, según el Financial Times.

La exigencia refleja el diseño de Monero centrado en la privacidad. Cada transacción de Monero genera una dirección aleatoria de un solo uso, por lo que personas ajenas no pueden vincular los pagos a la billetera pública de un usuario específico, una propiedad que distingue a la moneda de las blockchains públicas seudónimas como Bitcoin y que la ha convertido en una opción recurrente en demandas de extorsión.

Se entiende que la filtración afectó a unos 680 clientes, mientras que la infraestructura principal, las bases de datos y las cuentas de clientes de Revolut no fueron hackeadas, según una fuente familiarizada con el asunto.

La empresa ha dicho que información confidencial de clientes fue divulgada a un tercero no autorizado después de que los atacantes enviaron solicitudes fraudulentas utilizando un dominio de correo electrónico legítimo de una agencia gubernamental. La información robada incluiría, según los informes, documentos de identidad y otros registros confidenciales de clientes de al menos 680 clientes de Revolut.

Los hackers afirman que eligieron a sus objetivos utilizando análisis de blockchain, el examen de datos de transacciones registradas públicamente para rastrear la actividad de las billeteras, para identificar cuentas de Revolut con importantes tenencias de criptomonedas.

Revolut dijo que no ha tenido contacto directo con los presuntos atacantes y que no ha recibido ninguna demanda de rescate, lo que añade otra capa de incertidumbre a las afirmaciones de extorsión.

El incidente pone de relieve un creciente riesgo de ciberseguridad para las plataformas financieras y de criptomonedas, donde los atacantes podrían no necesitar penetrar los sistemas bancarios principales se pueden usar ataques de ingeniería social, que se basan en engañar a las personas y explotar procesos legítimos en lugar de quebrar defensas técnicas, para obtener datos confidenciales de clientes a través de canales de confianza. Los documentos de identidad se utilizan habitualmente para verificar a los clientes en los servicios financieros, lo que los convierte en uno de los tipos de datos personales más sensibles que una filtración puede exponer. En el Reino Unido, las organizaciones deben notificar a la Information Commissioner's Office dentro de las 72 horas posteriores a tener conocimiento de una filtración de datos personales que probablemente represente un riesgo para las personas.