Los atacantes que engañaron a Revolut exigen ahora 6.000 XMR

Según los hackers, que hablaron en exclusiva con el Financial Times (FT), Revolut no perdió los datos de sus clientes porque los hackers hubieran pirateado sus servidores. Los atacantes simplemente los solicitaron. Haciéndose pasar por las fuerzas del orden italianas durante meses y utilizando un sistema de correo electrónico gubernamental legítimo, un grupo que se autodenomina «iamnotavillain» pasó meses solicitando archivos sobre usuarios específicos de criptomonedas. Las afirmaciones de los hackers se hicieron a los periodistas del FT Tom Wilson, Laith Al-Khalaf y Amy Kazmin a través de «una serie de mensajes». Al parecer, Revolut accedió a las peticiones y envió registros que incluían pasaportes, selfies e historiales de transacciones. Ahora, el grupo afirma que tiene datos de unas 680 personas y exige 6.000 monero (XMR), lo que equivale aproximadamente a 3 millones de dólares, mientras que un reloj de cuenta atrás público amenaza con entregar esos archivos de identidad a otros delincuentes.

No entraron a la fuerza. Lo pidieron

Según se informa, la filtración de datos de Revolut fue posible porque los atacantes supuestamente utilizaron el sistema italiano Posta Elettronica Certificata (PEC), una red de correo electrónico certificado que se emplea para comunicaciones legales y gubernamentales. Los mensajes enviados a través del canal comprometido incluían credenciales de autenticación de dominio válidas, por lo que Revolut recibió correos que parecían proceder de una autoridad gubernamental real.

Ahí estaba el truco. La autenticación podía demostrar que un correo electrónico procedía de un dominio legítimo, pero no podía probar que la persona detrás de la cuenta fuera realmente un funcionario autorizado. En lugar de burlar los sistemas de seguridad de Revolut, los atacantes afirman haber aprovechado el proceso diseñado para gestionar las solicitudes legales de las autoridades.

Las víctimas fueron seleccionadas previamente

No se trató de una recopilación aleatoria de datos. El grupo afirma que utilizó análisis en cadena para identificar a los usuarios de Revolut con una actividad significativa en criptomonedas y, a continuación, solicitó registros sobre esas personas por su nombre. El reportaje del FT citaba que el grupo afectado ascendía a unas 680 personas que utilizaban la plataforma en 31 países, muchas de ellas en Suiza y Francia.

Los archivos supuestamente incluían nombres, direcciones, números de teléfono, identificadores de cuenta, depósitos y retiradas de criptomonedas, transferencias de moneda fiduciaria, documentos de KYC y selfies de verificación. En pocas palabras, el grupo no se limitaba a recopilar información de contacto básica. Estaba elaborando expedientes de identidad detallados sobre personas a las que consideraba que merecía la pena atacar.

Luego llegó la demanda de Monero

El 16 de septiembre, Iamnotavillain publicó un ultimátum público en una página web con ese mismo nombre, exigiendo 6.000 XMR —lo que equivalía aproximadamente a 3 millones de dólares— en un plazo de 24 horas; de lo contrario, los archivos robados se venderían a otros grupos delictivos. Anteriormente había circulado por Telegram una demanda de 10 000 bitcoins (BTC), pero el grupo atribuyó posteriormente esa cifra a un suplantador o a un antiguo colaborador.

Para muchos observadores, el cambio a Monero (XMR) tiene sentido para una demanda de extorsión. Las transacciones con bitcoin son visibles en un libro mayor público, mientras que XMR está diseñado para ocultar los detalles de las transacciones. Revolut, por su parte, declaró a la prensa que no había recibido ninguna demanda directa de las personas que reivindicaron la autoría cuando apareció la cuenta atrás, lo que convierte al reloj tanto en una campaña de presión pública como en una negociación.

Revolut sostiene que sus sistemas y los fondos de sus clientes no se vieron afectados. Al parecer, los delincuentes no penetraron en la red central de la empresa ni vaciaron las cuentas de los clientes. La afirmación en cuestión es que, según se informa, convencieron a Revolut para que entregara información mediante lo que parecían solicitudes oficiales legítimas.

Eso no significa que los datos robados sean inofensivos. Un pasaporte, una selfie, una dirección particular, un número de teléfono y un historial de transacciones pueden facilitar la suplantación de identidad, el restablecimiento de cuentas, las llamadas falsas al servicio de atención al cliente y ataques posteriores contra otros servicios financieros. El verdadero peligro no reside solo en lo que se sustrajo a Revolut, sino en lo que esos archivos podrían desvelar en otros lugares.

El mayor problema es el canal de confianza KYC

Revolut comunicó a TechCrunch el 12 de septiembre que había identificado la estafa de suplantación de identidad, bloqueado la dirección y notificado el hecho a la agencia pertinente, a las fuerzas del orden y a los organismos reguladores. Los investigadores están analizando ahora cómo un canal de comunicación gubernamental legítimo pasó a formar parte de la operación.

Esto plantea una pregunta incómoda que va más allá de la propia empresa de moneda digital. Si un buzón gubernamental comprometido pudo generar meses de solicitudes de información convincentes, es posible que otras instituciones del sector de las criptomonedas hayan recibido mensajes similares. Los atacantes no forzaron la caja fuerte. Se hicieron pasar por las personas legalmente autorizadas a solicitar su apertura.