-
Karpelès critica que Revolut no haya confirmado primero la solicitud con la agencia solicitante.
-
Los datos de usuarios de alto perfil fueron difundidos a presuntos malos actores.
El exdirector ejecutivo del extinto exchange de bitcoin (BTC) Mt. Gox, Mark Karpelès, arremetió contra el neobanco Revolut por la difusión de datos privados de sus clientes.
Karpelès criticó que la plataforma no haya confirmado primero la solicitud con la agencia solicitante antes de procesar la entrega masiva de información confidencial.
El incidente se desencadenó cuando la entidad financiera procedió a la entrega de registros tras recibir un correo electrónico presuntamente oficial, el cual terminó siendo una suplantación de identidad avanzada que comprometió la privacidad de sus clientes.
De acuerdo con las declaraciones del empresario, la institución financiera cometió un “error metodológico grave” al responder al requerimiento de inmediato y relegar la verificación a un
Revolut no debió haber enviado datos de clientes (KYC, datos históricos, etc.) en respuesta a un correo solo porque provenía de una agencia gubernamental.
Mark Karpelès, exCEO de Mt. Gox.
Efectivamente, los datos de usuarios de alto perfil de Revolut fueron difundidos a presuntos malos actores debido a esta falla en los protocolos de verificación previa.
La información transferida abarca datos personales de identificación, como nombres completos, fechas de nacimiento, direcciones de domicilio, copias de documentos oficiales con fotografías, estados de cuenta bancarios con IBAN, registros detallados de retiros y el historial completo de transacciones ejecutadas en la plataforma, tal como informó CriptoNoticias.
Además de la data personal, Revolut entregó historiales de operaciones con BTC de varios clientes, lo que eleva el riesgo de ataques de phishing contra los usuarios del neobanco.
“¿Tenía razón Revolut?”
El análisis legal presentado por el exdirectivo de Mt. Gox señala que el argumento de actuar bajo una creencia razonable no posee respaldo jurídico dentro de las normativas de la Unión Europea.
Karpelès cuestionó la postura del neobanco al preguntar públicamente: “¿Tenía razón Revolut al divulgar información basándose en un correo electrónico?”.
A diferencia de la legislación de Estados Unidos—donde la disposición 18 U.S.C. § 2702(b)(8) contempla solicitudes de datos de emergencia basadas en la buena fe del proveedor—, el marco normativo de los países donde opera Revolut impone el secreto bancario estricto. Bajo el Artículo 6.1.c del RGPD, cualquier cesión de datos exige una obligación legal previa y no admite justificaciones de buena fe.
En Lituania —país que regula a Revolut— el artículo 55 de la Ley de Bancos exige requerimientos por escrito transmitidos por canales previamente acordados y fija un plazo legal formal de hasta 20 días para responder.
Del mismo modo, en Francia, autoridades como TRACFIN canalizan sus solicitudes por plataformas autenticadas como ERMES y la Guía de Tiers Autorisés de la CNIL obliga a realizar verificaciones previas (como una llamada de confirmación).
Por todo ello, queda descartada cualquier justificación para procesar una solicitud no autenticada de manera inmediata.
Asimismo, Karpelès enfatizó que las guías prácticas de los organismos de protección de datos personales especifican de forma clara que las entidades no pueden validar requerimientos basándose en elementos contextuales o en la simple apariencia del emisor.
De hecho, el protocolo básico ante solicitudes vía correo electrónico exige realizar un contacto directo de verificación con la institución pública mediante números o canales de comunicación oficiales publicados de manera independiente.
Este caso deja en evidencia el avance de la ingeniería social y de las herramientas cada vez más precisas de los hackers y atacantes, que han sabido burlar controles y barreras para acceder a información privilegiada. De ahí la relevancia de optimizar los procesos de seguridad mediante herramientas automatizadas y de inteligencia artificial (IA), tal como lo han sugerido especialistas a este medio.
