Revolut, la filtración de datos de septiembre de 2026: qué está confirmado, qué no y qué preguntar

El 12 de septiembre de 2026 Revolut comunicó que información sensible de una parte de sus clientes fue entregada a un sujeto no autorizado, tras solicitudes fraudulentas llegadas desde una dirección de correo electrónico de un dominio gubernamental. En las semanas siguientes circularon cifras y reconstrucciones, en parte difundidas por quienes reivindican el ataque. Este artículo separa lo que está documentado de lo que solo está declarado, reclamado o no verificado, y recoge las preguntas que siguen abiertas. No contiene datos de las personas afectadas ni enlaces a material sustraído.

Cronología esencial

• 12 de septiembre de 2026: Revolut comunica el incidente. Lo recogen, entre otros, The Paypers y PYMNTS, que citan a Reuters y Bloomberg.
• 15 de septiembre: Sky TG24 informa de la investigación de la policía informática por acceso indebido a un sistema informático y fraude informático.
• 16 de septiembre: según el Wall Street Journal, citado por PYMNTS, Revolut es objeto de amenazas de extorsión por parte de quienes reclaman el ataque.
• 18 de septiembre: el Garante para la protección de los datos personales publica una nota sobre el caso.
• 7 de octubre: según Reuters, citada por PYMNTS, el responsable para Europa occidental de Revolut dice que la empresa cubrirá los costes de nuevos documentos de identidad para los clientes afectados.

VERIFICADO: qué dice el Garante

El único documento primario de una autoridad que hemos podido leer íntegramente es la nota del Garante italiano del 18 de septiembre de 2026. Dice, en síntesis:

• se ha iniciado una verificación inmediata sobre la seguridad de los accesos de los bancos italianos, para comprobar si ha habido otros intentos como el sufrido por Revolut;
• los servicios del Garante han escrito a la red de responsables de protección de datos (DPO) de los bancos, pidiéndoles que revisen sus propios sistemas para descartar comunicaciones «anómalas» procedentes de la misma casilla PEC, y que se pongan en contacto de inmediato con la Autoridad si surgen casos similares, informándola conforme al artículo 33 del RGPD;
• el Garante ha informado a la autoridad lituana, donde Revolut tiene su sede legal principal, y le ha pedido que confirme si ha recibido de Revolut una notificación de violación en Lituania y que comparta la información útil, también para saber si están implicados otros bancos activos en Italia;
• la Autoridad se ha movido también con el Ministerio del Interior, para saber si hay otros bancos o entidades implicados y qué datos se han visto comprometidos;
• el asunto, escribe el Garante, ha puesto de manifiesto «algunos puntos débiles de las PEC oficiales en uso».

Dos precisiones. El Garante no indica qué casilla PEC se utilizó, ni de qué ente. Y la nota es del Garante italiano: no consta que la autoridad lituana, competente en primera instancia sobre la empresa, haya publicado un comunicado sobre este episodio que hayamos podido encontrar.

DECLARADO POR REVOLUT

La posición de la empresa, tal como la recogen Sky TG24, PYMNTS y The Paypers:

• la empresa comunicó el incidente el 12 de septiembre de 2026 (fecha recogida por The Paypers y PYMNTS, que citan a Reuters y Bloomberg);
• se trató de una «sofisticada estafa de suplantación externa», en la que un sujeto no autorizado utilizó la dirección de correo de un dominio legítimo de una agencia gubernamental para presentar solicitudes fraudulentas de información;
• en cuanto se detectó el fraude, la dirección fue bloqueada y se informó a la agencia afectada, a las fuerzas del orden, a las autoridades de protección de datos y a las de supervisión financiera;
• los sistemas de Revolut y los fondos de los clientes no se vieron afectados;
• las personas afectadas fueron contactadas directamente;
• las solicitudes procedentes de dominios gubernamentales verificados se tratan como solicitudes legales obligatorias; en este caso, al contener una autenticación técnica válida del dominio, fueron atendidas «con la expectativa razonable de que se tratara de una investigación auténtica»;
• según el correo enviado a los clientes, citado por PYMNTS que a su vez cita a TechCrunch, los datos expuestos incluyen identidad y contactos (fecha de nacimiento, direcciones, teléfono), documentos como pasaportes y permisos de conducir, y posiblemente selfies de verificación, extractos de cuenta e historial de transacciones.

La cifra. Se habla de unos 680 clientes. Las fuentes no coinciden sobre quién la facilitó: Sky TG24 la atribuye a la empresa, mientras que The Paypers y SecurityWeek escriben que Revolut no ha hecho pública la cifra. El 7 de octubre, según Reuters citada por PYMNTS, el responsable para Europa occidental habló de asistencia a los 680 clientes afectados. En cambio, no se conoce, por fuentes oficiales, cuántos son los clientes italianos.

RECLAMADO por quienes dicen haber hecho el ataque

Todo lo que sigue procede de sujetos que tienen interés en exagerar o en generar revuelo. Lo recogemos porque forma parte de la noticia, no porque esté probado.

• Un sujeto que se hace llamar «IAmNotAVillain» declaró al Financial Times, según Sky TG24, que contactó con Revolut por primera vez un par de meses antes haciéndose pasar por una autoridad policial italiana, y que la empresa habría respondido a las solicitudes «como un buen chico».
• Según SecurityWeek, el mismo sujeto exigió públicamente 3 millones de dólares, amenazando con vender los datos. Revolut respondió a SecurityWeek que no había recibido «ningún contacto o solicitud directa» de quienes hacen estas afirmaciones. Otros medios recogen cifras distintas para la exigencia; no las consideramos verificadas.
• También según SecurityWeek, en comunicaciones separadas los autores afirmaron que la campaña habría durado cinco o seis meses y habría incluido el robo de más de 147 GB de datos de una agencia policial italiana.
• Según el Wall Street Journal, citado por PYMNTS, el autor habría difundido partes de datos de clientes amenazando con difundir más. Revolut, consultada por el periódico, dijo haber avisado a las fuerzas del orden y no comentó más.

Un punto debe mantenerse separado del resto: la idea de que Revolut tramitó las solicitudes «durante meses» y «sin comprobar» es, por ahora, una reclamación de quienes dicen haber realizado el ataque. Revolut sostiene que aplicó el procedimiento previsto para las solicitudes legales. Ninguna fuente independiente que hayamos leído documenta durante cuánto tiempo ni con qué verificaciones se gestionaron las solicitudes.

NO VERIFICADO

• La casilla PEC y el ente. SecurityWeek escribe que la dirección comprometida en pec.interno.it «parece pertenecer» a un empleado del Ministerio del Interior y recoge el análisis de la empresa de seguridad Hudson Rock, que habla de más de 300 credenciales asociadas a ese dominio y de un probable origen en credenciales ya robadas. Es una hipótesis de una empresa privada, no una comprobación. BusinessOnline observa que ninguna fuente independiente ha confirmado el compromiso de esa casilla concreta y que los detalles proceden de documentos difundidos por los propios autores. Algunos medios han señalado un ente concreto: no está confirmado y no lo recogemos.
• Las investigaciones. Sky TG24 informa de la investigación de la policía informática. Según BusinessOnline, también estaría abierta desde el 15 de septiembre una investigación de la autoridad británica de protección de datos (ICO); no hemos encontrado un documento de la ICO que lo confirme.
• El lado cripto. Algunos medios hablan de movimientos en bitcoin entre los datos expuestos. El correo a los clientes, tal como se ha recogido, habla genéricamente de extractos de cuenta e historial de transacciones; no tenemos una fuente primaria sobre el detalle.
• La cifra definitiva de personas afectadas y la eventual implicación de otros bancos o instituciones.

Las preguntas abiertas

Lo que sigue no es una acusación: son las preguntas a las que, según los documentos disponibles, nadie ha respondido todavía públicamente.

1. ¿Qué controles aplica Revolut a las solicitudes de datos que llegan de autoridades, además de la autenticación técnica del dominio de correo? ¿Existe una verificación independiente, por ejemplo una llamada de vuelta a un contacto ya conocido?
2. ¿Cuántas solicitudes se atendieron, en qué período de tiempo, y cómo se registraron y revisaron antes del descubrimiento?
3. ¿Qué recibió la autoridad lituana, y cuándo? ¿Se envió la notificación de violación prevista en el artículo 33 del RGPD dentro de las 72 horas desde el descubrimiento?
4. ¿Cuántos clientes italianos están afectados y han sido informados individualmente?
5. ¿Qué casilla PEC se utilizó, desde cuándo estaba comprometida y quién responde de ella? El Garante habla de «puntos débiles» de las PEC oficiales: ¿cuáles, y con qué medidas?
6. ¿Por qué la cifra de clientes afectados se comunicó solo más tarde, y por quién?
7. ¿Las medidas anunciadas (coste de los nuevos documentos de identidad) valen para todos los afectados, en todos los países, y qué otras protecciones están previstas?

Si usas una cuenta digital o tienes cripto: indicaciones prudentes

Son indicaciones generales, no asesoramiento. No hay elementos, en las fuentes que hemos leído, para afirmar que los fondos de los clientes estén en riesgo: la empresa declara que fondos y sistemas no se vieron afectados. El riesgo documentado afecta a los datos personales.

• Comprueba las comunicaciones solo desde la app oficial. Después de un caso así aumentan los correos y mensajes falsos que ofrecen «asistencia», «recuperación de datos» o «verificación de identidad». No hagas clic en los enlaces recibidos y no comuniques códigos ni frases de recuperación a nadie.
• Si has recibido una notificación de afectación, conserva el mensaje, valora con calma si sustituir el documento de identidad (la empresa ha declarado que cubre los costes para los clientes afectados, según Reuters) y revisa periódicamente movimientos y posiciones a tu nombre.
• No respondas ni pagues a quien diga tener tus datos. Conserva las pruebas y denuncia a la policía o a la autoridad local de ciberdelincuencia. No busques ni difundas material sustraído.
• Autenticación. Prefiere aplicaciones de autenticación o llaves físicas a los SMS y usa una dirección de correo dedicada a los servicios financieros.
• Privacidad. Quien sabe que tienes cripto puede convertirse en objetivo de estafas dirigidas. Evita hacer públicos saldos y movimientos y valora con atención dónde guardas tus claves.
• No decidas en medio del pánico. Si piensas en cambiar de servicio, hazlo con calma, comprobando antes que el nuevo operador esté autorizado (para los proveedores de servicios cripto consulta nuestra guía de comprobación en el registro MiCA) y sin mover fondos con prisa hacia plataformas desconocidas.

Preguntas frecuentes