Un criminal dio a la empresa fintech Revolut un plazo de 24 horas para pagar un rescate de 3 millones de dólares en Monero o venderá los documentos de identidad y registros de transacciones de cientos de clientes a otros criminales, según informó el Financial Times.

El grupo, que se hace llamar "iamnotavillain", publicó la demanda el miércoles en un sitio web que creó para tal fin, pidiendo "6,000 XMR / $3,000,000" y advirtiendo que, de lo contrario, "todos los datos serán vendidos y la sangre estará en sus manos". La táctica es la extorsión de datos: los archivos robados en sí, y no sistemas bloqueados, sirven como palanca.

Lo que distingue a esta filtración es cómo fueron elegidas las víctimas. El grupo le dijo al FT que primero realizó un análisis de blockchain para identificar a clientes de Revolut cuya actividad en cadena sugería tenencias sustanciales, y luego atacó esas cuentas específicas.

Monero es una moneda de privacidad que oculta la información del remitente, el destinatario y el monto mediante firmas de anillo y direcciones sigilosas. Grandes exchanges de criptomonedas, incluidos Binance, Coinbase y Kraken, han eliminado el activo de su listado.

Los grupos de extorsión solicitan el token y a veces reducen sus exigencias para las víctimas que pagan en él, según la firma de inteligencia de blockchain TRM Labs, pero la mayoría de los rescates todavía se liquidan en Bitcoin, que la firma describe como "mucho más fácil de adquirir, mover y convertir a gran escala".

La filtración de Revolut

Revolut entregó los datos por sí misma, en respuesta a solicitudes de información que llegaron desde un dominio de correo electrónico genuino de una agencia gubernamental y contaban con autenticación válida. La empresa ha descrito el incidente como "una estafa de suplantación externa sofisticada".

El FT informa que esas solicitudes llegaron a través de un sistema de correo electrónico del gobierno italiano comprometido y se realizaron durante un de meses, con al menos 680 cuentas afectadas.

Los datos robados fueron extensos e incluían nombres, fechas de nacimiento, ocupaciones, direcciones de domicilio, copias de pasaportes o licencias de conducir, las selfies que los clientes envían para verificación, estados de cuenta con IBAN y referencias de billeteras, registros de retiros e historiales completos de transacciones. Las fintechs como Revolut conservan precisamente este expediente porque las normas de conocimiento del cliente (KYC) exigen verificaciones de identidad antes de abrir cuentas — y, a diferencia de una contraseña, un número de pasaporte no se puede restablecer una vez que se filtra. Los hackers posteriormente le mostraron al FT una grabación de pantalla de los archivos.

El investigador de blockchain ZachXBT, quien difundió primero la notificación a los clientes, dijo que la filtración parecía "dirigida a usuarios de alto patrimonio", lo cual coincide con el relato del grupo sobre cómo eligió a sus víctimas. Esa combinación de identidad verificada, dirección de domicilio y tenencias comprobadas es el perfil detrás del aumento de los violentos ataques con llave inglesa contra propietarios conocidos de criptomonedas — agresiones físicas en las que los criminales obligan a los tenedores a entregar sus criptoactivos.

Revolut dijo el miércoles por la noche que "no ha recibido ningún contacto directo ni demanda de las personas o del grupo que hace estas afirmaciones". La empresa ha calificado de "limitado" el número de clientes afectados, afirma que los fondos y los sistemas no fueron afectados, y ha declineado nombrar a la agencia involucrada. Si el plazo de 24 horas pasa sin pago — y si alguna vez se nombra a la agencia detrás de las solicitudes originales — está por verse.