Filtración de datos de Revolut: los archivos ya son públicos y esto es lo que puedes hacer

Cuando la copia de tu documento de identidad, tu selfi de verificación y tu historial completo de transacciones de Bitcoin acaban juntos en un mismo paquete en manos ajenas, una contraseña nueva apenas sirve de nada. Esa es la situación de los clientes avisados por Revolut desde el 14 de septiembre de 2026: los documentos sustraídos se están publicando desde esa misma madrugada. Ahora cuentan cuatro cosas. Deja constancia por escrito del alcance de tu propia afectación. Cierra las vías por las que una copia de un documento de identidad se convierte en dinero. Toma en serio la relación entre tu domicilio y tus tenencias de criptomonedas. Y haz valer tus derechos frente al banco mientras corren los plazos.

Este texto parte de nuestro primer análisis. Si perteneces o no al grupo de afectados y qué papel desempeña tu historial de Bitcoin en el episodio se explica en Filtración de datos de Revolut: ¿estoy afectado y qué pasa con mi historial de Bitcoin?, del 12 de septiembre. Aquí se trata del paso siguiente: los datos están fuera, y eso cambia la pregunta sobre qué hacer.

Filtración de datos de Revolut: ¿qué hacer ahora que los archivos se publican?

Hasta el fin de semana, el incidente de seguridad era una salida de datos de clientes. Desde la noche del 14 de septiembre, Cointelegraph informa de que han aparecido en la red copias de documentos de identidad y selfis de verificación de clientes de Revolut. Según el medio especializado, los atacantes anuncian en Telegram que publicarán nuevos conjuntos de datos cada día hasta que Revolut pague. Un afectado confirmó a Cointelegraph que los detalles publicados coinciden con la documentación depositada en Revolut y que el neobanco le escribió el viernes.

Un punto importante para valorarlo: la existencia de una petición de rescate es la versión de los atacantes, recogida por un medio especializado que cita una publicación de Telegram. La propia Revolut no confirma tal exigencia. En los agregadores circula además una cifra concreta en bitcoines como supuesto rescate. Esa cifra carece de respaldo sólido y por eso no aparece aquí como un hecho.

La diferencia práctica con la semana pasada es grande de todos modos. Mientras un conjunto de datos está solo en manos de un grupo delictivo, hace falta un comprador antes de que se use contra ti. En cuanto queda disponible públicamente, ese paso intermedio desaparece y el número de posibles estafadores pasa de un grupo a cualquiera que encuentre el archivo.

Qué campos de datos enumera Revolut en su correo a los clientes

El servicio especializado BleepingComputer cita literalmente la notificación que Revolut envió a los afectados. Según ese texto, el incidente abarca el nombre completo, la fecha de nacimiento, la profesión, la dirección postal, el correo electrónico y el número de teléfono. A ello se suman copias del documento de identidad o del permiso de conducir, los selfis de la comprobación de identidad, extractos de cuenta con el IBAN, registros de retiradas y el historial completo de transacciones, incluidas las operaciones con bitcoines.

Revolut habla de un número limitado de usuarios afectados, pero no da ninguna cifra. Según la empresa, ni sus propios sistemas quedaron comprometidos ni se vieron tocados los fondos de los clientes. Ambas afirmaciones son plausibles y ninguna cambia mucho tu situación. El daño de este episodio no alcanza tu saldo. Está en la documentación.

La salida de datos se desencadenó, según la versión de la empresa, por una solicitud falsificada que parecía un requerimiento de información de una autoridad pública. Esos requerimientos de urgencia son un procedimiento asentado: ante un peligro inminente, las autoridades reclaman datos de abonado sin esperar a la vía judicial ordinaria. La solicitud falsificada procedía de un dominio administrativo auténtico y superó las comprobaciones técnicas de autenticación del remitente. Justo ahí estaba el punto débil. Un correo firmado de forma técnicamente correcta demuestra que el dominio es auténtico. No demuestra que la solicitud que hay detrás sea legítima.

Por qué una copia del DNI no es un caso para la línea de bloqueo alemana 116 116

El primer reflejo de muchos afectados es pedir el bloqueo del documento de identidad. En Alemania eso se tramita por la línea gratuita 116 116, y en este caso es el paso equivocado. Allí se bloquea la función de identificación en línea, es decir, el eID del chip del documento. Esa función necesita la tarjeta física y el PIN de seis dígitos. Una copia escaneada no puede activarla.

Tu documento sigue en tu cajón, y el eID no es la puerta de entrada. El riesgo está en todos los proveedores que aceptan un archivo de imagen de un documento como justificante: intermediarios de crédito, operadores de telefonía móvil, tiendas a distancia con pago contra factura y algunas plataformas de negociación con controles débiles. Un bloqueo del eID no tendría efecto ahí y solo te privaría del uso digital de la administración.

En cambio, sí funciona otro conjunto de medidas. Presenta denuncia ante la policía, en línea a través de la comisaría digital de tu región; el número de expediente será después tu prueba frente a cualquier acreedor que reclame una deuda contraída en tu nombre. Solicita una copia gratuita de tus datos a las grandes agencias de información crediticia y comprueba si figuran contratos que nunca firmaste. Y ponte un recordatorio, porque el uso indebido de identidad con copias de documentos suele aparecer meses después. La Oficina Federal Alemana de Seguridad de la Información detalla los pasos concretos para las víctimas de filtraciones de datos y de doxing.

Escaneo del DNI y selfi KYC juntos: el problema de la prueba de vida

El escaneo de un documento por sí solo es un riesgo conocido. La combinación de la copia del documento y el selfi de la misma comprobación de identidad es otro orden de magnitud, porque justo ese par es el justificante estándar al abrir una cuenta. Muchos proveedores exigen una foto del documento y una imagen del rostro, y algunos cotejan ambas de forma automática.

La protección frente a eso se llama prueba de vida y debe determinar si delante de la cámara hay una persona viva o una imagen fotografiada. Los buenos procedimientos exigen movimientos de cabeza, patrones de luz cambiantes o una captura de profundidad; los débiles se conforman con una imagen fija subida. Donde solo se pide una imagen fija, un selfi de verificación filtrado es aprovechable de inmediato.

De ahí se deriva una tarea concreta para quien usa criptomonedas: mira en qué plataformas está depositado tu documento y cierra las cuentas que ya no utilizas. Cada registro inactivo es una copia menos de tu documentación en circulación. Donde sigas activo, activa la autenticación en dos pasos mediante una aplicación de autenticación o una llave de seguridad en lugar de por SMS, porque el número de teléfono forma parte de esta filtración. Qué plataformas trabajan realmente bajo supervisión en Alemania y cómo comprobarlo está en nuestro repaso de los exchanges de criptomonedas regulados.

Historial de transacciones de Bitcoin en manos ajenas: qué permite la agrupación de direcciones

La parte del paquete que distingue este incidente de una filtración bancaria corriente es el historial de transacciones. Bitcoin es una base de datos pública: cada transferencia figura en la cadena y cualquiera puede consultarla. Lo que le falta a la cadena es la asignación de una dirección a una persona. Y esa asignación la entrega gratis un extracto de cuenta con registros de retiradas.

Agrupación de direcciones es el nombre del procedimiento que permite deducir todo un conjunto de direcciones a partir de una sola conocida: cuando varias direcciones aparecen juntas como entradas de una transacción, con alta probabilidad pertenecen a la misma cartera. Quien conozca una de tus direcciones de retirada puede seguir calculando desde ahí y llega a menudo a una estimación de tus tenencias totales. La técnica no es nueva ni está prohibida; las empresas de análisis y los investigadores llevan años trabajando con ella. Lo nuevo es que el punto de partida anda ahora tirado en público.

La pregunta inmediata es si deberías cambiar de direcciones. Para pagos futuros sí, para el pasado no es posible. Una transacción ya inscrita en la cadena no se puede recuperar. En la práctica eso significa: usa direcciones nuevas para las entradas futuras, evita juntar tenencias antiguas y nuevas en una misma transacción y, con importes grandes, renuncia a ingresarlos y retirarlos por la misma plataforma.

Domicilio y tenencias de criptomonedas: valorar el riesgo físico con frialdad

El investigador on-chain ZachXBT interpreta el episodio en el sentido de que la filtración parece pequeña, pero da la impresión de estar dirigida de forma deliberada a usuarios con patrimonio. Esa es su valoración y no un hecho constatado, aunque merece atención porque encaja con la estructura de los datos: dirección postal, fecha de nacimiento y profesión junto a un historial de Bitcoin rastreable componen un perfil que va más allá del propósito habitual del phishing.

Ya hemos descrito este patrón dos veces, la última con la filtración de datos de Trezor de septiembre, en la que quedaron expuestos nombres, números de teléfono y domicilios de compradores de carteras de hardware. La lección vale aquí igual. No hables de importes en el vecindario ni por teléfono. Recibe con desconfianza los avisos de paquetes y las supuestas llamadas del servicio del banco, aunque se citen correctamente tu nombre, tu fecha de nacimiento y tu último cargo. Justo esos datos están en el paquete, y quien los conoce no ha demostrado nada con ello.

En concreto eso significa también: establece para ti mismo una regla de devolución de llamada con tu banco y con tus plataformas. Ninguna gestión que empiece por teléfono se cierra por teléfono. Cuelga y marca el número que aparece en la aplicación o en el extracto. Ese único hábito deja sin valor la mayor parte de lo que un ciberdelincuente puede hacer con tu documentación.

¿Qué hacer si han pirateado tu cuenta de Revolut?

Una distinción importante de entrada: en este incidente no se tomó el control de ninguna cuenta. Según la empresa se entregó documentación, no se robaron credenciales de acceso. Si tu cuenta está realmente manejada por un tercero, se aplica otro procedimiento, y empieza por el bloqueo.

Bloquea la tarjeta en la aplicación y, si ya no tienes acceso, a través del servicio de atención al cliente del banco. Comunica sin demora cualquier cargo no autorizado; según el derecho de servicios de pago, un pago no autorizado se te reembolsa en principio mientras no hayas actuado con negligencia grave, y el banco debe acreditar la autorización. Cambia después la contraseña de tu buzón de correo, porque es la llave maestra de todos los demás accesos. Revisa por último los dispositivos y las sesiones vinculados en todas las cuentas que usan esa misma dirección de correo y expulsa las sesiones desconocidas.

Deja constancia por escrito de cada uno de esos pasos, con fecha y hora. Quien más tarde reclame una indemnización o impugne una deuda necesita ese registro.

Las próximas semanas: un plan de revisión con fechas fijas

El uso indebido de identidad tras una violación de seguridad rara vez arranca de inmediato. Entre la salida de los datos y el primer ataque en tu nombre pasan a menudo semanas, a veces meses, porque los conjuntos de datos primero se ordenan, se fusionan y se van pasando. Por eso un plan de revisión con fechas fijas funciona mejor que una única tarde de nervios.

Esta semana: enviar la solicitud de acceso del artículo 15, presentar la denuncia y pasar en todas partes la autenticación en dos pasos a una aplicación o a una llave de seguridad. Anota además qué direcciones postales y qué número de teléfono estaban depositados en el neobanco. Quien reciba más adelante un mensaje con exactamente esos datos reconocerá de inmediato de qué fuente bebe el remitente.

Dentro de cuatro semanas: solicitar la copia de tus datos a las agencias de información crediticia y revisarla en busca de anotaciones que no conozcas; cualquier consulta de crédito que nunca hayas pedido es una señal de alarma. En la misma tanda repasa los registros de acceso de tus cuentas más importantes y comunica cualquier entrada desde una región en la que no estuviste.

A los tres meses y a los seis: lo mismo otra vez. Mientras tu pasaporte circule como archivo de imagen, conserva su valor para los estafadores hasta su fecha de caducidad.

Conviene abandonar por el camino una expectativa. Los servicios de comprobación que prometen rastrear tus datos en la dark web registran en realidad una base de colecciones ya conocidas. Esos sistemas dan pistas útiles sobre episodios antiguos y aun así no te dan ninguna señal de tranquilidad sobre uno reciente, porque allí solo se ve lo que ya se ha comerciado públicamente. Fíate de la información de tu propia respuesta del artículo 15 en lugar de un semáforo en verde.

Tus derechos según el RGPD: acceso por el artículo 15, reclamación por el artículo 77

La notificación que envió Revolut es una obligación del artículo 34 del Reglamento General de Protección de Datos: cuando una violación entraña previsiblemente un riesgo alto para los afectados, la empresa debe informar sin demora. Ese correo, sin embargo, solo te dice que estás afectado, no en qué medida.

La medida la consigues por el artículo 15 del RGPD, el derecho de acceso. Reclama por escrito una copia de los datos tratados sobre ti y, de forma expresa, la indicación de qué categorías se comunicaron a qué destinatarios. El plazo es de un mes y puede prorrogarse dos meses si la empresa lo motiva. Esa respuesta es la única prueba sólida de lo que realmente se entregó en tu caso, y es gratuita.

Si no llega respuesta, o llega una inservible, entra el artículo 77 del RGPD: reclamación ante una autoridad de control, expresamente también ante la de tu lugar de residencia habitual. Para los clientes alemanes es la autoridad de protección de datos de su estado federado. Que Revolut Bank UAB tenga su sede en Lituania y que la autoridad de allí sea competente según el procedimiento de autoridad principal no cambia nada; tu autoridad regional recibe la reclamación y la traslada. La sucursal alemana de Berlín está además bajo la supervisión de la BaFin, que sin embargo no es competente en protección de datos.

Sobre la indemnización del artículo 82 del RGPD, la situación en Alemania es más clara desde la sentencia del Tribunal Supremo Federal del 18 de noviembre de 2024 (referencia VI ZR 10/24): la mera pérdida de control sobre los propios datos puede constituir un daño moral indemnizable, sin que haya que demostrar un uso indebido. La pérdida de control, eso sí, tienes que exponerla tú. La cuantía depende del caso concreto, y los importes reconocidos hasta ahora se mueven en las centenas bajas.

¿Vigila Hacienda a Revolut? Qué rige desde 2026 con DAC8

Esta pregunta aparece en cada episodio de este tipo, y la respuesta no tiene nada que ver con la filtración. No se vigila a nadie. Lo que se comunica de forma automática desde el 1 de enero de 2026 es otra cosa: la ley alemana de transparencia fiscal de criptoactivos traslada la directiva europea DAC8 al derecho nacional y obliga a los proveedores de servicios sobre criptoactivos a registrar y transmitir datos de clientes y operaciones con relevancia fiscal. El primer periodo de declaración es el año natural 2026, y la transmisión a la Oficina Central Federal de Impuestos debe producirse antes del 31 de julio de 2027.

Para ti eso tiene dos consecuencias. Los datos que los proveedores de criptomonedas guardan sobre ti irán a más antes que a menos, y llevar una contabilidad propia limpia ha dejado de ser opcional. Una suma declarada tampoco es tu ganancia: lo que se declara son ingresos y operaciones, mientras que los costes de adquisición solo los conoce tu propia documentación. Quien no la lleva negocia después frente a una cifra a la que no puede oponer nada. Un gestor de cartera con informe fiscal resuelve exactamente ese problema.

Extorsión, rescate, millones de registros: qué está acreditado y qué no

Alrededor de este incidente de seguridad circulan varios relatos a la vez, y las diferencias importan para tu valoración.

Acreditada está la notificación a los afectados junto con la lista de campos de datos, porque la envió la propia Revolut y un servicio especializado la reproduce literalmente. Acreditado está también que han aparecido públicamente copias de documentos de identidad y selfis de verificación; un afectado confirmó la correspondencia a Cointelegraph.

Afirmada está la extorsión. La amenaza de publicación diaria procede de una entrada de Telegram de los presuntos autores. Una empresa extorsionada rara vez lo confirma, y Revolut no lo hace aquí. Quien mencione la exigencia debería decir quién la plantea.

Discutido está un asunto más antiguo que vuelve a aflorar: en verano se ofreció en la dark web, en los foros del ramo, una base de datos con presuntas decenas de millones de registros de Revolut. Medios alemanes informaron de ello, Revolut negó su autenticidad y remitió a material recopilado de otras fuentes. Ese episodio debe separarse del actual. Quien mezcle ambos llega a un número de afectados que nadie ha acreditado.

Para afrontar los próximos días eso significa: cuenta con un phishing que tendrá muy buen aspecto. Quien conoce el nombre, la fecha de nacimiento, el IBAN y las últimas transacciones ya no escribe un correo basura torpe. La única piedra de toque fiable sigue siendo el canal, no el contenido. Un banco de verdad nunca te pide por correo o por teléfono que traspases saldo a una cuenta de seguridad, que introduzcas una frase de recuperación o que instales un programa de acceso remoto. A la menor duda, entra por la aplicación que instalaste tú mismo.

La autocustodia como consecuencia: cuándo una cartera de hardware acorta el rastro

Este caso deja a la vista una propiedad de las soluciones de custodia que en el día a día permanece invisible: quien mantiene criptoactivos en un proveedor deja allí, junto al saldo, un expediente de identidad completo. Ese expediente es el objeto real del incidente. Una cartera de hardware no lo cambia todo, pero acorta el rastro en un punto decisivo: el saldo deja de estar en manos de un tercero, y la caída o la fuga de datos de ese tercero ya no te separa de tus monedas.

Aun así hay que ser honesto. La compra en sí vuelve a generar datos, como muestra la filtración de Trezor mencionada; por eso nunca pidas el envío a una dirección que sea también tu domicilio, si puedes evitarlo, y compra exclusivamente al fabricante o a distribuidores autorizados. El ingreso desde un exchange a la cartera propia es además visible en la cadena y puede enlazarse con los extractos de cuenta. Y la responsabilidad sobre la frase de recuperación recae después por completo en ti. La autocustodia es un desplazamiento del riesgo, no su supresión.

Para el resto, lo que deba permanecer en una plataforma, la elección se hace por la supervisión y la práctica de custodia. Pregunta por la separación de activos, por quién es el custodio y por la licencia bajo la que trabaja.

Filtración de datos de Revolut: qué te llevas de aquí

1. Deja constancia por escrito de tu afectación. Solicita hoy mismo el acceso del artículo 15 del RGPD y anota la fecha de envío. Sin esa lista, después discutirás sobre suposiciones. En paralelo comprueba qué plataformas guardan la copia de tu documento y cierra las cuentas sin uso; nuestro repaso de los exchanges de criptomonedas regulados muestra qué importa en las que conserves.
2. Separa identidad y tenencias. Usa direcciones de recepción nuevas, no juntes tenencias antiguas y nuevas en una misma transacción y traslada a custodia propia la parte que mantengas a largo plazo. La comparativa de carteras de hardware nombra los dispositivos junto con sus puntos débiles.
3. Pon en orden tu contabilidad antes de la primera declaración DAC8. Unos datos de adquisición sin lagunas son, a partir del periodo de declaración 2026, tu único contraargumento frente a una suma comunicada. Un gestor fiscal y de cartera se encarga de recopilarlos.

(14 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)