Revolut entregó datos KYC a un pedido oficial falso

Revolut entregó nombres completos, fechas de nacimiento, ocupaciones, direcciones, copias de pasaportes y licencias de conducir, selfies de verificación, números IBAN e historiales completos de transacciones a un tercero que pidió esa información por correo desde el dominio real de una agencia gubernamental. No hubo intrusión en los sistemas del banco ni acceso a fondos de clientes. Los datos KYC salieron por la puerta de adelante, ordenados por la misma área que los custodiaba, porque la solicitud llegó con el remitente correcto.

El canal que usaron los atacantes tiene nombre propio dentro de las áreas de cumplimiento normativo y existe en casi todas las jurisdicciones. Las solicitudes de datos de emergencia permiten que una autoridad obtenga información sobre un usuario sin orden judicial cuando alega peligro inminente para una persona, de manera que todo el procedimiento está construido alrededor de la urgencia y de saltarse revisiones adicionales. El FBI publicó en noviembre de 2024 una alerta sobre el aumento de publicaciones en foros criminales que ofrecían acceso a buzones oficiales comprometidos, pensadas justamente para enviar pedidos de este tipo.

Los números publicados hasta ahora describen una operación quirúrgica más que masiva, lo que cambia bastante la lectura del caso. El Financial Times reportó unos 680 clientes contactados sobre una base que la empresa declara en más de 80 millones de usuarios, mientras la Oficina del Comisionado de Información del Reino Unido ya abrió una investigación. El investigador ZachXBT, que hizo público el aviso, señaló que la selección apuntaba a usuarios de patrimonio alto, a lo que se suma una afirmación sin verificar sobre un grupo que exige un pago en bitcoin a cambio de no publicar los archivos.

La diferencia entre una filtración de datos personales convencional y lo que ocurrió acá está en la forma del material que salió. Un intruso se lleva lo que encuentra en la base, mientras un solicitante recibe el expediente que un área de compliance armó sobre una persona identificada, con domicilio verificado, ocupación, historial de retiros y referencias de billeteras de bitcoin. Un historial en cadena es seudónimo por sí solo, aunque unido a una dirección residencial confirmada se convierte en una lista de objetivos ordenada por saldo.

La regulación obliga a acumular ese material durante años sin definir en ningún lado quién puede entregarlo. Las normas de prevención de lavado exigen recolectar documentos de identidad, imágenes faciales y datos de operaciones, además de conservar los datos KYC hasta siete años después de que el cliente cierre la cuenta en el caso británico. Ninguna de esas normas dice qué nivel jerárquico autoriza una entrega ni contra qué se verifica al solicitante, de modo que esa decisión vive en un procedimiento interno que nadie audita hasta que falla.

Para América Latina la pregunta deja de ser teórica este año, porque Revolut está armando el mismo expediente en cinco mercados de la región al mismo tiempo. Opera como institución de banca múltiple en México desde el 27 de enero, con autorización de la CNBV y el Banco de México. Tiene operación en Brasil, autorización de constitución bancaria en Colombia desde octubre de 2025, autorización de la SBS peruana desde marzo de este año y la compra del Banco Cetelem en Argentina pendiente del aval del BCRA.

El calendario del lado de los datos avanza en dirección contraria, sobre todo en materia de protección de datos en México. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares entró en vigor el 21 de marzo de 2025, con la desaparición del INAI como órgano autónomo y el traslado de sus funciones a la Secretaría Anticorrupción y Buen Gobierno, que depende del Ejecutivo. El reglamento de esa ley sigue sin publicarse, mientras en el Reino Unido el regulador abrió expediente en cuestión de días.

Colombia sí fijó un plazo concreto, quince días hábiles para reportar un incidente de seguridad ante la Superintendencia de Industria y Comercio desde que se detecta, aunque eso ordena lo que pasa después del problema. La pregunta incómoda para cualquier neobanco en América Latina, y para cualquier broker que atiende pedidos de fiscalías, unidades de inteligencia financiera y autoridades tributarias, es quién puede entregar los datos KYC de un cliente, porque esos pedidos llegan por correo, con membrete, con urgencia declarada y con un remitente que casi nadie verifica por un canal distinto al que lo trajo.

Esta industria lleva años tratando el expediente KYC como un costo de cumplimiento, una carpeta que se llena durante el onboarding y se archiva para la próxima auditoría. Lo que muestra el caso de Revolut es que ese expediente ya tiene mercado, comprador y precio de referencia. Queda por ver cuántos brokers de la región pueden responder hoy, sin tener que averiguarlo, quién adentro está en condiciones de entregar uno completo sin que nadie más se entere.