Cuando el "hacker" es solo un email falso: la pifia de seguridad de Revolut

El pasado 12 de septiembre, en las oficinas de Revolut se vivió un momento bastante amargo. La conocida empresa financiera sufrió una filtración que dejó expuestos los datos de algunos de sus clientes. Pero lo que realmente llama la atención de este caso no es la sofisticación de un ciberataque de película, sino la forma en que ocurrió: cayeron en la trampa de un correo electrónico tramposo.

Nada de romper cortafuegos ni de adivinar contraseñas imposibles. Según confirmó la propia compañía a través de un comunicado del que se hizo eco TechCrunch, se trató de un caso de suplantación de identidad. Un tercero no autorizado utilizó ni más ni menos que el dominio de correo legítimo de una agencia gubernamental para pedir información de forma fraudulenta. Vamos, como si te piden la documentación mostrando una placa oficial impecable; es difícil no picar.

Los estafadores no se limitaron a copiar el logo de turno o usar una dirección similar a la de una administración. El correo provenía directamente de un dominio oficial auténtico, lo que llevó al equipo de Revolut a darlo por bueno y responder a la solicitud. Aunque no se ha aclarado oficialmente qué organismo ni qué país estuvo involucrado en el incidente, se cree que el lío se originó en Italia.

Una vez que en Revolut detectaron el incidente, reaccionaron para cortar por lo sano: bloquearon la dirección de correo implicada y pusieron sobre aviso a la agencia suplantada, a las autoridades pertinentes, a los reguladores financieros y a los responsables de protección de datos.

Este incidente demuestra que la ingeniería social puede colarse hasta en las entidades financieras más preparadas si el disfraz es perfecto. ¿Qué opináis en la comunidad de BeersStorming, habéis recibido alguna vez un correo falso tan bien hecho que casi os lo creéis?