Qué ha pasado con los datos de Revolut
El caso no apunta, según la versión de Revolut, a una intrusión directa en su app ni a un acceso no autorizado a sus sistemas internos. La entidad lo describe como una suplantación externa sofisticada: un tercero no autorizado habría utilizado una dirección de correo vinculada a un dominio gubernamental legítimo para enviar peticiones falsas de información.
La diferencia es importante. No es lo mismo que un atacante entre en la infraestructura del banco a que consiga que la entidad entregue datos creyendo que responde a una solicitud oficial. Para el cliente, sin embargo, el resultado práctico puede ser igual de delicado: información personal y financiera en manos de quien no debería tenerla.
Según la información publicada, los datos potencialmente expuestos podrían incluir nombre, fecha de nacimiento, dirección postal, correo electrónico, teléfono, documentos de identidad, selfies de verificación, extractos, IBAN e historial de transacciones, incluidas operaciones con bitcoin en los casos afectados. Revolut sostiene que los fondos de los clientes y sus sistemas no se han visto comprometidos.
Qué significa para los clientes en España
La cifra de 680 afectados procede de Financial Times, que cita fuentes conocedoras de la investigación inicial. Revolut, por ahora, ha hablado públicamente de un número limitado de clientes y ha indicado que ha contactado directamente con los afectados, pero no ha confirmado de forma pública cuántos corresponden a España.
Ese matiz es clave. No hay base suficiente para afirmar que todos los clientes de Revolut en España estén afectados. Tampoco debe darse por confirmado, sin verificación adicional, el dato de 25 clientes españoles afectados. Es una cifra relevante, pero necesita confirmación directa de Revolut, del regulador competente o de una fuente documental verificable antes de publicarse como hecho cerrado.
Para un cliente español, el impacto principal no está en una nueva comisión ni en un cambio de condiciones de la cuenta. Está en la posible exposición de datos sensibles que pueden facilitar intentos posteriores de suplantación, phishing o llamadas fraudulentas más creíbles. Quien compara neobancos o cuentas online no debería mirar solo costes o funcionalidades: también importa cómo responde la entidad ante una incidencia de seguridad.
Qué deben revisar los clientes afectados
El primer filtro es sencillo: si Revolut ha identificado a un cliente como afectado, debería haberle enviado una comunicación directa. Aun así, conviene extremar la prudencia porque una brecha de datos puede abrir la puerta a mensajes falsos que aparenten ser del propio banco.
La recomendación práctica es no entrar desde enlaces recibidos por correo, SMS o mensajería. Lo razonable es acceder siempre desde la app oficial o la web escrita manualmente, revisar movimientos, tarjetas, beneficiarios, dispositivos vinculados y cualquier operación reciente que no encaje. Si aparece un cargo no reconocido o una actividad extraña, el aviso debe hacerse desde los canales oficiales.
Revolut indica en su página de ayuda para España que las reclamaciones pueden presentarse mediante formulario online o escribiendo a formalcomplaints@revolut.com, y que las sospechas de fraude o cuenta en riesgo pueden comunicarse a report-fraud@revolut.com. Para clientes de la sucursal española de Revolut Bank UAB, su política de reclamaciones prevé acudir a los supervisores financieros españoles si no hay respuesta en los plazos previstos para determinados servicios.
La letra pequeña: no todo es una brecha bancaria clásica
La clave está en no confundir el tipo de incidente. Revolut insiste en que no se han visto afectados los fondos ni sus sistemas. Eso reduce el riesgo de una retirada directa de dinero por esta vía, pero no elimina el problema: un atacante con documentos, dirección, teléfono, IBAN o historial de operaciones puede construir fraudes mucho más convincentes.
En España, la AEPD recuerda que una brecha de datos personales debe notificarse a la autoridad competente cuando pueda suponer un riesgo para los derechos y libertades de las personas, y comunicarse a los afectados cuando el riesgo sea alto. Esa comunicación debe permitir al afectado entender qué datos se han expuesto y qué medidas puede tomar.
El punto útil para el cliente es este: no basta con preguntar si el dinero sigue en la cuenta. Hay que revisar qué información ha salido, si puede usarse para suplantar identidad y qué canales oficiales ofrece la entidad para aclarar el caso. En banca digital, la confianza no depende solo de que la app funcione. También depende de cómo se protege y se explica la información cuando algo falla.
