No hubo hackeo. No hubo malware. No hubo credenciales robadas. Alguien escribió emails desde una dirección de correo electrónico que pertenecía realmente a un organismo gubernamental y Revolut los respondió como si fueran legítimos, porque lo eran. El resultado: fechas de nacimiento, domicilios postales, emails, teléfonos y documentos de identidad —incluidos pasaportes y carnets de conducir— de un número no revelado de clientes pasaron a manos de criminales.Revolut confirmó el incidente y precisó que sus sistemas no fueron vulnerados y que los fondos de los clientes están intactos. La historia la rompió el investigador cripto ZachXBT el viernes 12 de septiembre, apuntando a que el objetivo fueron individuos con patrimonio elevado. El mismo día que se lanzó al banco privado con un umbral mínimo de 500.000 libras esterlinas para acceder, la empresa tiene un problema de credibilidad con exactamente ese perfil de cliente.¿Cómo funciona el ataque y por qué es tan difícil de prevenir?Los bancos, las telcos y otras empresas reciben peticiones de datos de manera rutinaria de fuerzas del orden y agencias gubernamentales. El proceso existe porque lo exige la ley. El personal está entrenado para tratar esas peticiones como legítimas porque la alternativa —tratar toda petición oficial como sospechosa— tampoco es viable para una empresa que opera bajo régimen bancario.Un atacante que puede enviar desde un dominio gubernamental real salta todos los filtros que rechazarían un papel de empresa falso. La pregunta que Revolut no ha respondido es cómo los atacantes accedieron a ese dominio: si la agencia fue comprometida, si el atacante obtuvo credenciales de un empleado de la agencia, o si el dominio tenía vulnerabilidades que permitieron el envío sin compromiso del servidor.Hemos comprobado en wwwhatsnew.com que el patrón de los ciberataques más sofisticados de 2026 no es el hackeo frontal sino el abuso de infraestructura legítima. La misma lógica que hizo que agentes de OpenAI se saltaran salvaguardas usando peticiones GET en wikis públicas es la que hizo que un atacante con acceso a un email gubernamental pasara todos los filtros de Revolut. Los ciberataques autónomos del verano de 2026 demuestran que la sofisticación del ataque no requiere necesariamente inteligencia artificial; requiere entender cómo funcionan los sistemas de confianza.¿Qué sabe Revolut y qué no ha explicado?Revolut dijo que bloqueó el dominio en cuanto entendió lo que estaba pasando, informó a los clientes afectados, alertó a la agencia cuyo dominio fue usado, y contactó con las fuerzas del orden y los reguladores financieros. Bajo el GDPR europeo, una empresa tiene 72 horas desde que detecta una brecha de datos personales para notificar a su autoridad supervisora, y tiene que comunicárselo directamente a los individuos afectados cuando el riesgo es alto.Lo que Revolut no ha explicado: cuántas personas fueron afectadas (solo dice «un número limitado»), en qué países, qué agencia fue usada como cover, cómo los atacantes obtuvieron acceso al dominio de esa agencia, ni cuánto tiempo duró la campaña de solicitudes fraudulentas antes de que alguien lo detectara.El decreto Trump que autoriza contraataques cibernéticos ofensivos a empresas privadas ante criminalidad cibernética extranjera es la señal de que el gobierno americano reconoce que la defensa estatal sola no basta. Revolut, con valoración de 115.000 millones de dólares y en camino a una OPV que aspira a los 200.000 millones, tampoco puede depender de que los sistemas de confianza de terceros —en este caso, los servidores de email de una agencia gubernamental— funcionen correctamente. La vulnerabilidad no está en el banco. Y eso es exactamente lo que hace el problema difícil de resolver.El episodio de Revolut ilumina una brecha de seguridad que tiene réplicas en toda la industria financiera y tecnológica: el sistema de «solicitudes de emergencia gubernamental» existe en casi todos los proveedores de servicios digitales. Google, Apple, Meta, Twitter, Amazon, todos tienen procedimientos para responder urgentemente a peticiones de fuerzas del orden cuando hay riesgo inminente para vidas. Esos procedimientos, por diseño, requieren menos verificación que los procedimientos ordinarios. Un atacante que puede imitar convincentemente una solicitud de emergencia puede obtener datos en horas, no en semanas.ZachXBT, el investigador que rompió la historia, señaló que el ataque se dirigió a individuos de alto patrimonio. Eso tiene sentido desde la perspectiva del atacante: obtener los datos de 100 clientes de banca privada de Revolut, con saldos de medio millón de libras cada uno, y los pasaportes y selfies de verificación que permiten suplantar su identidad, es un objetivo más lucrativo que millones de cuentas con saldos pequeños.La posición de Revolut es incómoda por tres razones simultáneas. Primera, la empresa está en pleno proceso de preparación para lo que aspira a ser una OPV de 200.000 millones de dólares, y un incidente de este tipo en el momento en que está atrayendo clientes de banca privada con medio millón de libras de entrada es el peor tipo de publicidad. Segunda, el Banco Central Europeo ya le pidió que desacelerara sus lanzamientos de productos. Tercera, no puede resolver el problema sin la cooperación de los sistemas de solicitud de datos gubernamentales que son la vulnerabilidad explotada, y eso implica a múltiples jurisdicciones con sistemas propios.Lo que el incidente de Revolut también abre es una conversación sobre qué pasa con los datos que ya salieron. Un pasaporte y un selfie de verificación son permanentes: no se puede rotar como una contraseña, no se puede revocar como un número de tarjeta. Las personas afectadas que han sido contactadas por Revolut tendrán que vivir durante años con la posibilidad de que esa información esté en manos de actores desconocidos. El daño no es un episodio cerrado; es una exposición permanente.El incidente de Revolut también plantea una pregunta sobre la responsabilidad legal en la cadena de confianza. La agencia gubernamental cuyo dominio fue comprometido tiene responsabilidad sobre cómo se usó su infraestructura. Los reguladores financieros que supervisan a Revolut tienen responsabilidad sobre cómo la empresa implementa sus protocolos de respuesta a peticiones gubernamentales. La empresa tiene responsabilidad sobre si tenía salvaguardas adicionales para solicitudes de datos de alto valor. Hasta que no se sepa qué agencia fue y cómo perdió control de su dominio, asignar esa responsabilidad es imposible.La noticia Revolut entregó pasaportes de clientes a estafadores que usaron el dominio real de una agencia gubernamental fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.