Investigan en Italia el robo de datos de Revolut mediante un correo gubernamental certificado y hackeado

La Policía Postal de Italia, la unidad nacional contra delitos informáticos, abrió una investigación formal sobre el uso no autorizado de una cuenta de correo electrónico certificada por el gobierno, que supuestamente fue utilizada por hackers para solicitar y obtener datos de clientes de Revolut. El organismo gubernamental vinculado a esa cuenta negó haber enviado jamás semejante solicitud, dejando a los investigadores la tarea de reconstruir cómo un canal de comunicación considerado confiable terminó convertido en una herramienta para extraer información financiera sensible.

El caso importa porque expone una debilidad que no está en la infraestructura propia de Revolut, sino en el entramado legal y administrativo que las empresas fintech están obligadas a confiar cuando responden a solicitudes oficiales. Si una dirección de correo gubernamental puede ser secuestrada para hacerse pasar por una autoridad legítima, las consecuencias trascienden por mucho la base de clientes de una sola compañía.

Cómo el sistema de correo certificado de Italia se convirtió en blanco

En el centro de la investigación está la Posta Elettronica Certificata (PEC), el sistema de correo certificado italiano que otorga a los mensajes electrónicos el mismo valor legal que el correo postal registrado. Empresas, organismos públicos y profesionales en toda Italia dependen del PEC para trámites que van desde declaraciones de impuestos hasta notificaciones legales formales, precisamente porque un mensaje enviado por este sistema se considera verificado y vinculante.

Ese peso legal es justamente lo que volvió tan útil la cuenta comprometida para quien logró acceder a ella. Algunos medios vincularon la cuenta con la Prefectura de Reggio Calabria, una oficina de gobierno provincial, aunque esta negó cualquier participación en la solicitud enviada a Revolut. La agencia nacional de ciberseguridad de Italia, CERT-AGID, ya había advertido sobre esta debilidad meses antes: en junio señaló públicamente que, si bien el PEC garantiza que un mensaje fue entregado y por quién, no garantiza que la cuenta emisora, ni el contenido del mensaje, no hayan sido comprometidos. En otras palabras, el sistema autentica la entrega, no la integridad.

Esa distinción ha resultado costosa. Según CERT-AGID, se han registrado más de 650 casos de cuentas PEC abusadas o utilizadas de forma ilícita desde comienzos de 2026, una cifra que sugiere que no se trata de un incidente aislado, sino de un patrón que los atacantes han aprendido a explotar de manera sistemática contra instituciones que dan por sentado que los mensajes PEC son auténticos sin más verificación.

Qué significa esto para Revolut y sus clientes

Revolut afirmó haber reportado el incidente a las autoridades correspondientes y sostiene que sus propios sistemas, bases de datos y los fondos de sus clientes no fueron comprometidos. Es una distinción relevante: no se trató de una violación a los servidores de Revolut, sino, según los hechos bajo investigación, de un caso en el que la compañía aparentemente actuó ante lo que parecía ser una solicitud legal legítima proveniente de una cuenta de correo del gobierno italiano. Si un mensaje PEC fraudulento puede disfrazarse de forma lo suficientemente convincente como para extraer datos de clientes, la vulnerabilidad reside tanto en los procedimientos de verificación de las instituciones financieras como en el propio sistema de correo certificado.

No es la primera vez que el manejo de solicitudes con apariencia oficial por parte de Revolut queda bajo la lupa. Un incidente distinto, reportado apenas días antes, describió cómo atacantes usaron un dominio gubernamental falso para engañar a Revolut y hacer que filtrara datos de clientes de criptomonedas, tal como se detalla en un reporte previo sobre un dominio gubernamental falso usado contra Revolut. En conjunto, ambos episodios apuntan a una táctica consistente: en lugar de vulnerar directamente sistemas cifrados, los atacantes buscan explotar la confianza que las fintech depositan en correspondencia con apariencia oficial.

La situación se agrava por reportes separados que indican que los atacantes han amenazado con filtrar datos de clientes de Revolut de forma diaria, lo que sugiere que quien obtuvo la información podría estar usándola, o usando la amenaza de divulgarla, como forma de presión constante. Para los clientes, esto eleva el riesgo práctico de que sus datos personales y financieros circulen fuera del control de Revolut, aun cuando la empresa insista en que su infraestructura central permanece intacta.

Qué sigue

La investigación de la Policía Postal deberá establecer exactamente cómo se comprometió la cuenta PEC, quién accedió a ella y qué datos terminaron entregándose. Hay varios puntos concretos a seguir en las próximas semanas:

• Si las autoridades italianas logran identificar el método específico usado para secuestrar la cuenta de correo certificada, y si coincide con el patrón detrás de los más de 650 casos de abuso de PEC registrados este año.
• Si CERT-AGID emite nuevas guías o medidas técnicas de protección para usuarios de PEC tras su advertencia de junio, dado que la vulnerabilidad que señaló parece haberse materializado en un caso de alto perfil.
• Si Revolut enfrenta escrutinio regulatorio en Italia o en otros países por sus procedimientos de verificación al responder solicitudes gubernamentales de datos, independientemente de si sus propios sistemas eran seguros.
• Si las amenazas de filtraciones diarias de datos de clientes se concretan, y cómo responden Revolut y las autoridades italianas en ese caso.

El episodio se da mientras los reguladores europeos endurecen de manera general la supervisión sobre cómo las empresas cripto y fintech gestionan licencias y cumplimiento normativo, una tendencia visible en casos como el de la licencia MiCA que Deutsche Bank tramita para custodia de criptoactivos. También subraya un tema recurrente en la aplicación de la ley financiera: los atacantes apuntan cada vez menos a defensas criptográficas y más a los canales administrativos y legales que las instituciones están obligadas a confiar, una dinámica que también se refleja en acciones de cumplimiento no relacionadas, como las acusaciones contra exingenieros de Robinhood por operar con información privilegiada. Por ahora, la responsabilidad recae en los investigadores italianos, que deben determinar cómo una cuenta de correo certificada, diseñada para ser el equivalente digital del correo registrado, terminó convertida en un vector de fraude.

Para los usuarios de fintech en América Latina, donde exchanges y billeteras digitales operan bajo marcos regulatorios todavía en desarrollo, el caso es un recordatorio de que la seguridad de una plataforma no depende solo de su propia infraestructura, sino también de la solidez de los canales oficiales —gubernamentales o institucionales— con los que interactúa a diario.

Fuente: Cointelegraph

Este contenido es informativo y no constituye consejo financiero ni de inversión.