Revolut: el rescate baja a 3 millones y el plazo vence hoy

La última hora

Los atacantes piden 6.000 monero, unos 3 millones de dólares. Es una rebaja: la cifra que circuló el lunes eran 10.000 bitcoin.
Publicaron una cuenta atrás de 24 horas el miércoles. Vence hoy.
Amenazan con vender los archivos de los 680 clientes a redes criminales si no cobran.
Piden monero, no bitcoin, precisamente porque bitcoin se rastrea.
⚠️ Revolut lo niega: un portavoz dice a Reuters que no ha tenido contacto con el grupo ni ha recibido ninguna petición.
Quien lo destapa es una investigación del Financial Times. El grupo se hace llamar «iamnotavillain» — «no soy un villano».

El buzón certificado era el de la Prefectura de Reggio Calabria, del Ministerio del Interior italiano.
Con él enviaron una Orden Europea de Investigación falsa, firmada a nombre de un fiscal real.
El detalle que lo cambia todo: esa oficina no tiene competencia para pedir datos bancarios en el extranjero. Eso solo lo pueden hacer las fiscalías. Revolut aceptó una orden que nunca debió existir.
El fallo concreto: comprobaron que el correo venía de un dominio certificado, pero no quién lo firmaba. Faltó la llamada de verificación por otro canal — al Ministerio, a Europol.
Y los accesos a buzones oficiales italianos llevan años vendiéndose en la dark web.

El buzón estuvo en manos de los atacantes de marzo a julio, sin que los sistemas del Estado italiano lo detectaran.
No lo descubrió ningún control: fueron analistas de Revolut, al extrañarles unas anomalías, quienes llamaron a la Prefectura por otra vía. Allí no sabían nada de esas peticiones.
Los ~700 clientes no salieron al azar: estaban elegidos uno a uno entre los que más cripto tenían.
Ahora se esperan multas de las autoridades de protección de datos por entregar información sin verificarla.

El Consejo de Estado francés rechaza suspender el decreto que aplica DAC8: cada proveedor cripto recoge, verifica y conserva tus datos, los manda a Hacienda y de ahí a un registro con las autoridades de los 27 conectadas.
Dos exchanges alegaron que ese fichero acabaría filtrándose. El juez respondió que la probabilidad era «muy baja» y que no había urgencia.
Revolut acaba de enseñar cuánto vale ese «muy baja»: cinco meses de acceso indetectado y 680 expedientes completos fuera.

Cuanta más información se junta en un mismo sitio, más valioso es el objetivo. No es una opinión: es lo que acaba de pasar.

No esperes el aviso. Si eres cliente, pide por escrito el derecho de acceso: qué datos tuyos se han visto afectados. Tienen obligación de contestar.
Da por hecho que tu documento y tus compras están fuera, y actúa en consecuencia: nadie legítimo te va a llamar para «asegurar tu cuenta».
El segundo factor, en app, nunca por SMS. Si te llaman diciendo que son del banco, cuelga y llama tú al número de la tarjeta.
Y si te escriben ofreciéndose a «retirar tus datos» de la venta a cambio de un pago: es la segunda estafa, que siempre llega detrás de la primera.