El antiguo responsable del extinto intercambio de bitcoin Mt. Gox, Mark Karpelès, ha lanzado duras críticas contra el neobanco Revolut por la filtración de información privada de sus clientes. Según el exdirectivo, la entidad financiera actuó de manera negligente al entregar datos personales sin antes confirmar la autenticidad de la solicitud.
Las críticas del exCEO de Mt. Gox
Karpelès señaló que la plataforma cometió un grave error metodológico al procesar un requerimiento de información sin verificar previamente que la petición proviniera realmente de una agencia gubernamental. En sus declaraciones, afirmó que “Revolut no debió haber enviado datos de clientes (KYC, históricos, etc.) solo porque el correo parecía provenir de una institución pública”.
El incidente de suplantación de identidad
El problema se originó cuando la compañía financiera recibió un mensaje electrónico aparentemente oficial, pero que en realidad era una sofisticada técnica de phishing. Esta falla en los protocolos de seguridad permitió que actores maliciosos obtuvieran registros sensibles de usuarios, incluyendo documentación de identidad, comprobantes de domicilio, extractos bancarios con IBAN y el historial completo de operaciones realizadas en la plataforma.
Datos comprometidos y riesgos para los usuarios
Entre la información divulgada se encuentran nombres completos, fechas de nacimiento, direcciones, copias de pasaportes y selfies de verificación, además de los movimientos con bitcoin de varios clientes. Esta exposición incrementa el peligro de ataques de phishing dirigidos a los afectados, quienes podrían ser víctimas de estafas más elaboradas al contar los atacantes con datos personales detallados.
El marco legal europeo no ampara la buena fe
Karpelès analizó la situación desde una perspectiva jurídica y determinó que la excusa de haber actuado de buena fe no tiene sustento en las normativas de la Unión Europea. A diferencia de Estados Unidos, donde la ley 18 U.S.C. § 2702(b)(8) permite solicitudes de emergencia basadas en la buena fe del proveedor, en los países donde opera Revolut el secreto bancario es estricto. Por ejemplo, el artículo 6.1.c del RGPD exige una obligación legal previa para ceder datos, sin aceptar justificaciones subjetivas. En Lituania, la Ley de Bancos requiere que los pedidos se hagan por escrito a través de canales previamente acordados, con un plazo de respuesta de hasta 20 días. En Francia, entidades como TRACFIN usan plataformas autenticadas como ERMES, y la CNIL obliga a realizar una llamada de confirmación antes de entregar información.
La importancia de la verificación previa
El exdirectivo enfatizó que las guías de protección de datos personales son claras: ninguna entidad puede validar requerimientos basándose en la apariencia del remitente. El protocolo básico exige establecer contacto directo con la institución pública mediante números oficiales o canales independientes para confirmar la legitimidad de la solicitud. Este caso evidencia cómo la ingeniería social y las herramientas cada vez más precisas de los ciberdelincuentes logran burlar controles. Especialistas recomiendan implementar sistemas automatizados e inteligencia artificial para optimizar los procesos de seguridad y evitar futuras brechas.