Revolut asegura que no ha recibido ninguna comunicación directa de los supuestos responsables de la filtración pese a la aparición de una demanda pública de 6.000 XMR, valorados en unos $3 millones. La investigación en Italia se amplía mientras diferentes actores afirman controlar los datos robados y uno de ellos llegó a exigir 10.000 Bitcoin.
Revolut niega haber recibido directamente una demanda de rescate
El incidente de seguridad relacionado con Revolut continúa escalando.
La fintech afirmó este jueves que no ha recibido ningún contacto directo ni una demanda de rescate de los individuos o grupos que públicamente aseguran estar detrás de la filtración de datos de clientes.
La declaración llega después de que un grupo identificado como “IAmNotAVillain” exigiera públicamente el pago de 6.000 Monero (XMR).
La cantidad estaba valorada en aproximadamente $3 millones en el momento de la exigencia.
El grupo estableció supuestamente un plazo de 24 horas y amenazó con vender los registros de clientes a otros actores criminales si Revolut no realizaba el pago.
La exigencia de 6.000 XMR no llegó directamente a Revolut
Este detalle resulta fundamental para interpretar el incidente.
Aunque la demanda apareció públicamente, Revolut sostiene que los supuestos atacantes no se pusieron directamente en contacto con la compañía.
Esto introduce incertidumbre sobre la autenticidad de la amenaza y sobre quién posee realmente los datos obtenidos durante el incidente.
La aparición pública de una demanda no demuestra por sí sola que quien la realiza sea responsable de la filtración o tenga acceso completo a los registros afectados.
Precisamente ese es uno de los principales problemas a los que se enfrentan ahora los investigadores.
Monero aparece como moneda elegida para el rescate
El grupo reclamó específicamente el pago mediante Monero (XMR).
A diferencia de blockchains transparentes como Bitcoin, Monero está diseñado para proporcionar un nivel significativamente mayor de privacidad transaccional mediante diferentes tecnologías criptográficas.
Por ese motivo, XMR puede dificultar el seguimiento público de determinados elementos de una transacción.
Eso no convierte automáticamente en anónima o imposible de investigar cualquier actividad relacionada con Monero, pero sí proporciona características de privacidad que no existen de la misma manera en Bitcoin.
Otro supuesto atacante llegó a pedir 10.000 Bitcoin
El caso se complica porque “IAmNotAVillain” no es el único grupo que afirma estar relacionado con la filtración.
Anteriormente, otro actor identificado como “Revolut Smilik” habría exigido 10.000 BTC.
En aquel momento, esa cantidad tenía un valor aproximado de $780 millones.
La diferencia frente a la nueva exigencia es enorme.
Mientras una demanda reclama unos $3 millones en XMR, la otra alcanzaba aproximadamente $780 millones en BTC.
Esto aumenta las dudas sobre la credibilidad de las distintas reclamaciones.
Los propios grupos se disputan la autoría del ataque
“IAmNotAVillain” llegó incluso a cuestionar públicamente la versión del supuesto grupo rival.
Según su relato, un antiguo asociado habría recibido únicamente una pequeña muestra de los datos antes de atribuirse posteriormente la responsabilidad de toda la filtración.
El grupo advirtió además a terceros que no negociaran con el reclamante rival.
Estas afirmaciones proceden de los propios actores que aseguran estar vinculados al incidente y no constituyen una confirmación independiente de quién ejecutó realmente el ataque.
La situación deja abierta incluso la posibilidad de que algunos participantes estén intentando aprovechar una filtración real para realizar extorsiones sin controlar todos los datos.
Aparece un tercer supuesto responsable
La atribución se vuelve todavía más confusa con la aparición de otro sitio asociado a un actor diferente que también habría reclamado responsabilidad.
Una cuenta especializada en seguimiento de actividades delictivas en internet señaló revoloot.lol como otro dominio relacionado con un supuesto responsable.
Tanto ese sitio como el utilizado anteriormente por “IAmNotAVillain” estaban fuera de servicio cuando fueron comprobados por Cointelegraph.
Actualmente, por tanto, existen varios actores diferentes que afirman tener relación con una misma filtración, sin que se haya establecido públicamente cuál de ellos controla realmente los registros obtenidos.
La filtración comenzó con una cuenta gubernamental italiana
El origen conocido del incidente es especialmente delicado porque Revolut sostiene que sus propios sistemas no fueron comprometidos directamente.
La investigación se concentra en una cuenta institucional italiana que habría sido utilizada para realizar solicitudes fraudulentas de información.
La cuenta estaba relacionada con el sistema italiano de correo certificado Posta Elettronica Certificata (PEC).
Los atacantes habrían utilizado la aparente legitimidad de esa cuenta para solicitar información a Revolut haciéndose pasar por una autoridad.
La policía investiga si el correo fue vulnerado o clonado
Los fiscales de Reggio Calabria investigan ahora cómo se produjo exactamente el incidente.
Una de las principales cuestiones es determinar si la cuenta institucional fue comprometida directamente o clonada para suplantar las comunicaciones oficiales.
La diferencia es importante desde el punto de vista forense.
Si las credenciales de una cuenta legítima fueron robadas, los atacantes pudieron utilizar infraestructura auténtica.
Si existió una clonación o suplantación diferente, el mecanismo del fraude podría haber seguido otro proceso.
La investigación continúa abierta y todavía no existe una conclusión pública definitiva.
La Dirección Nacional Antimafia y Antiterrorismo entra en el caso
La dimensión institucional de la brecha ha provocado que la investigación aumente de nivel.
La Dirección Nacional Antimafia y Antiterrorismo de Italia está ahora involucrada debido a que la presunta intrusión afecta a una entidad gubernamental.
Los fiscales investigan un posible acceso no autorizado a un sistema informático considerado de interés público.
Esto amplía considerablemente el alcance del caso respecto a una filtración convencional sufrida por una empresa privada.
El regulador italiano de privacidad también interviene
Las consecuencias empiezan además a extenderse al conjunto del sector financiero.
El regulador italiano de protección de datos ha solicitado a los bancos que revisen urgentemente la seguridad de sus sistemas de acceso.
Las autoridades también están examinando si otros bancos o instituciones financieras podrían haber recibido solicitudes fraudulentas similares.
Esta cuestión será especialmente importante.
Si la cuenta gubernamental comprometida fue utilizada contra varias entidades, el incidente dejaría de ser un problema limitado a Revolut para convertirse en una campaña potencialmente más amplia contra el sistema financiero.
El sistema PEC vuelve a quedar bajo presión
El caso pone nuevamente el foco sobre el sistema italiano de correo certificado.
La agencia italiana CERT-AGID ya había advertido que PEC puede certificar formalmente la entrega de un mensaje, pero eso no garantiza que el contenido sea legítimo si una cuenta ha sido comprometida.
Durante 2026, la agencia había gestionado más de 650 incidentes relacionados con cuentas PEC utilizadas de manera indebida o ilícita.
El problema reside precisamente en la confianza.
Una comunicación aparentemente procedente de una institución pública puede recibir un nivel de credibilidad muy superior al de un correo electrónico convencional.
Revolut sostiene que sus sistemas y fondos siguen seguros
Hasta ahora, Revolut ha mantenido que sus sistemas internos, bases de datos y fondos de los clientes no fueron comprometidos directamente.
Esto debe distinguirse de la exposición de determinados datos de clientes.
Que la infraestructura bancaria permanezca segura no significa que una filtración de información personal carezca de importancia.
Los datos robados pueden utilizarse posteriormente para realizar phishing dirigido, ingeniería social, intentos de suplantación de identidad u otros fraudes.
Por eso será fundamental conocer exactamente qué información consiguieron obtener los atacantes.
No está claro quién posee realmente los datos
La gran incógnita del caso ha cambiado.
Inicialmente, la principal pregunta era cómo consiguieron los atacantes obtener información mediante una cuenta gubernamental.
Ahora existe una segunda cuestión: ¿quién controla realmente los datos filtrados?
Hay varios grupos atribuyéndose la responsabilidad, demandas de rescate radicalmente diferentes y acusaciones cruzadas entre los propios supuestos responsables.
Además, Revolut afirma que ninguno de ellos le ha presentado directamente una demanda.
Hasta que los investigadores consigan verificar la procedencia de los datos o aparezcan pruebas adicionales, no puede darse por confirmado que cualquiera de los grupos que reclama públicamente la autoría sea efectivamente el responsable principal.
Un incidente que puede extenderse más allá de Revolut
La investigación italiana será determinante para establecer el alcance real del ataque.
Si se confirma que una cuenta institucional fue comprometida y utilizada para solicitar información a diferentes compañías financieras, el riesgo no se limitaría a los clientes de Revolut.
Las autoridades deberán determinar cuánto tiempo estuvo comprometida la cuenta, qué organizaciones recibieron comunicaciones, qué información fue entregada y quién terminó controlando esos datos.
Mientras tanto, Revolut mantiene una posición clara: reconoce la exposición de información relacionada con solicitudes fraudulentas, pero sostiene que no ha recibido directamente las demandas de rescate que circulan públicamente y que sus sistemas y fondos permanecen seguros.
La aparición de exigencias por 6.000 XMR y 10.000 BTC añade ahora una nueva dimensión de extorsión a un incidente que comenzó como una vulneración de confianza institucional y que se está convirtiendo en una investigación de ciberseguridad mucho más amplia.
