La brecha de datos sufrida por Revolut no comenzó con una intrusión directa en sus sistemas. El punto de origen estuvo en una cuenta de correo certificado vinculada a la Prefectura de Reggio Calabria, una institución pública italiana dependiente del Ministerio del Interior, que fue comprometida y posteriormente utilizada para enviar solicitudes fraudulentas de información. Revolut terminó entregando datos de 680 clientes al considerar legítimas esas peticiones.
Una institución italiana como punto de entrada
La institución implicada es concretamente la Prefettura – Ufficio Territoriale del Governo di Reggio Calabria, una articulación territorial del Ministerio del Interior italiano. Los atacantes consiguieron utilizar una dirección de correo electrónico certificado, tambien conocida como PEC, vinculada a esta Prefectura para comunicarse con Revolut aparentando actuar en nombre de esta «autoridad legítima».
Este detalle cambia sustancialmente la naturaleza del incidente. No se trató simplemente de falsificar el remitente de un correo electrónico. La Agenzia per la Cybersicurezza Nazionale (ACN) italiana informó de que Revolut había señalado el compromiso de una dirección PEC asociada a la Prefectura de Reggio Calabria. Posteriormente, CSIRT Italia, el equipo nacional especializado en prevención y respuesta a incidentes, pudo verificar ese compromiso analizando una muestra facilitada por Revolut de uno de los correos utilizados para realizar las solicitudes fraudulentas.
La subsecretaria italiana de Interior, Wanda Ferro, comunicó además que Revolut confirmó la brecha de datos el 15 de septiembre y cuantificó en 680 los clientes afectados, ocho de ellos italianos.
El atacante utilizó una identidad de confianza
La cadena de ataque puede entenderse como un abuso de una relación de confianza interorganizacional mediante una identidad institucional comprometida.
Los atacantes no necesitaban acceder directamente a la infraestructura interna de Revolut. Disponían de algo especialmente valioso: un canal perteneciente a una institución pública real. Desde él pudieron remitir solicitudes de información que aparentaban formar parte de procedimientos oficiales.
Revolut ha confirmado que recibió peticiones fraudulentas procedentes de un dominio legítimo de una agencia gubernamental y que, como consecuencia, información de clientes fue facilitada a un tercero no autorizado. La compañía sostiene que sus sistemas y los fondos de sus clientes no fueron comprometidos.
La compromisión de la institución italiana fue, por tanto, el desencadenante técnico de la cadena de ataque. Sin el control de esa identidad institucional, los atacantes no habrían dispuesto del mismo nivel de confianza frente a Revolut. Sin embargo, la brecha se materializó cuando las solicitudes superaron los controles de validación de la fintech y la información terminó siendo entregada.
Autenticar el origen no basta
El incidente expone una diferencia fundamental entre autenticación y autorización.
Un correo puede proceder realmente de una infraestructura gubernamental y superar los controles técnicos asociados al dominio. Eso demuestra el origen del mensaje, pero no garantiza que quien controla esa cuenta en ese momento esté autorizado para realizar una petición concreta.
Las reconstrucciones conocidas señalan además algunas anomalías que podrían haber servido como segunda línea de verificación. ANSA informó de que las solicitudes aparecían vinculadas a la Policía Postal italiana pese a proceder de una PEC de la Prefectura de Reggio Calabria, y de que habría faltado documentación judicial que normalmente acompañaría requerimientos de esta naturaleza. Estos extremos forman parte todavía de la investigación y no deben interpretarse como una conclusión judicial sobre la actuación de Revolut.
El Parlamento italiano también ha planteado dudas sobre si una Prefectura tendría las competencias necesarias para solicitar por sí misma determinados datos bancarios internacionales, lo que refuerza la importancia de comprobar no solo quién envía una solicitud, sino también si ese organismo tiene autoridad para realizarla.
CIERRE – Cuando una organización comprometida se convierte en el vector de ataque
El caso Revolut muestra un escenario particularmente problemático para organizaciones que gestionan información sensible: una institución de confianza puede convertirse en infraestructura del atacante después de ser comprometida.
El origen de este incidente estuvo en una cuenta vinculada a la Prefectura de Reggio Calabria, pero su impacto se propagó hacia una segunda organización que confiaba en ese canal para gestionar solicitudes oficiales.
La lección defensiva va más allá de Revolut. Bancos, operadores de telecomunicaciones, proveedores cloud o cualquier empresa que responda a requerimientos de organismos públicos necesitan verificar no únicamente la autenticidad técnica del remitente, sino también la identidad del solicitante, la legitimidad del procedimiento y su autorización para pedir esa información.
Porque cuando el atacante controla una identidad legítima, confiar en el origen deja de ser suficiente.
