Si tienes una cuenta Revolut y has visto pasar por X palabras como pasaportes, selfies, Bitcoin y filtración, seguramente has hecho lo normal: mirar el saldo, mirar el correo y preguntarte si acabas de protagonizar un episodio de Black Mirror con IBAN (y no, no es una combinación para relajarse).
Vamos a bajar una marcha, que internet ya pone suficientes sirenas por su cuenta.
No voy a decirte que cierres la cuenta corriendo (yo no lo he hecho) ni que aquí no ha pasado nada. Las dos respuestas son demasiado cómodas. El incidente es serio, pero lo que se ha confirmado tampoco es lo mismo que todo lo que está circulando.
Tabla de contenidos
Qué ha Pasado con la Filtración de Datos de Revolut
El 12 de septiembre de 2026, Revolut confirmó que un tercero no autorizado utilizó el dominio de una agencia gubernamental legítima para enviar solicitudes fraudulentas. La información se publicó después de que la empresa explicara el incidente a medios como The Block y TechCrunch.
Y aquí está la parte importante. No parece que el atacante entrara rompiendo la puerta técnica de la aplicación. El engaño consistió en presentar una solicitud con una apariencia suficientemente legítima para que alguien la tratara como una petición oficial.
No me gusta llamar a esto simplemente un correo gubernamental falso, porque el dominio de origen era legítimo. Lo falso era la solicitud (el dominio no era el problema, pero el procedimiento sí).
Eso es ingeniería social con traje, corbata y sello de goma solo que con las gafas de Gomaespuma. El atacante no necesita parecer más listo que todo el departamento de seguridad. Le basta con parecer la persona o la institución que nadie quiere hacer esperar.
Y el origen, que llevaba semanas siendo la incógnita del caso, ya tiene versión oficial.
El 30 de septiembre, el ministro del Interior italiano, Matteo Piantedosi, explicó ante el Parlamento que el correo partía de una dirección certificada del sistema de la policía de Reggio Calabria, aunque fuera una cuenta que nunca se había usado antes.
Su conclusión fue incómoda para la empresa: Revolut podía y debía haber verificado la petición con un mínimo de diligencia.
Revolut bloqueó la dirección utilizada cuando detectó el fraude. La empresa también dijo que avisó a la agencia correspondiente, a las fuerzas de seguridad y a los reguladores.
Es una reacción necesaria, aunque no borra el problema inicial: una verificación que parecía legítima permitió entregar información a un tercero no autorizado.
Qué Datos Pueden estar Afectados
La información potencialmente expuesta incluye nombres, fechas de nacimiento, direcciones, teléfonos y copias de documentos de identidad. El aviso también menciona datos que para mucha gente resultan especialmente delicados:
- Pasaportes o permisos de conducir.
- Selfies de verificación.
- IBAN y extractos de cuenta.
- Registros de retiradas.
- Historiales completos de transacciones.
- Transacciones de Bitcoin.
Según la notificación que Revolut envió a los propios afectados, entre los datos expuestos había pasaportes y documentos de identidad, correo electrónico, teléfono e información financiera. Otras fuentes añaden las selfies de verificación.
La empresa mantiene que ni los fondos ni las credenciales de acceso se vieron afectados.
Una precisión importante: que un tipo de dato aparezca en la lista de información que pudo compartirse no significa que cada cliente afectado tenga todos esos datos expuestos.
Y que no aparezca una contraseña en la descripción no permite afirmar alegremente que ningún otro elemento de seguridad pueda comprometerse en el futuro. El lenguaje prudente aquí no es decoración, es parte de la información.
La diferencia entre una filtración de datos personales y un robo directo de dinero importa. Revolut dijo que sus sistemas y los fondos de los clientes no se vieron afectados.
Eso responde a la pregunta "¿han vaciado las cuentas?", según la información disponible.
No responde a otra pregunta igual de importante: "¿qué pueden hacer ahora con mis datos?". Para eso hace falta estar atento a la segunda parte del problema, que suele llegar con un correo muy educado y una urgencia de campeonato.
Qué está Confirmado y qué Sigue sin Confirmar
La empresa habló de un grupo limitado de clientes y dijo que les había contactado directamente. Revolut no ha publicado el número exacto de afectados ni la agencia implicada.
Y ahora aparece una cifra. El dato apareció primero en prensa (una información de Investing.com que lo atribuye al Financial Times), pero ya no va de rumores: la recogen Reuters y el Gobierno italiano.
El alcance conocido: unos 680 clientes afectados en todo el mundo, de ellos unos 12 en Irlanda y 55 en Francia. De España, ninguna cifra publicada.
La misma información señala que la Information Commissioner's Office (ICO), el organismo británico de protección de datos, estaría investigando el caso después de que Revolut se lo notificara.
Te lo cuento como una información reportada, no como un comunicado del ICO que podamos dar por leído directamente.
Y una pieza nueva que hay que contar con el verbo justo. Un actor que se hace llamar "IAmNotAVillain" ha reclamado públicamente 3 millones de dólares y asegura que la campaña contra Revolut duró entre cinco y seis meses.
Reclamar y asegurar: eso es la versión del atacante, no un hecho verificado. Revolut dice no haber recibido ninguna demanda directa, y la policía italiana investiga.
Esto significa que no sabemos todavía si el incidente afecta a clientes de España.
Tampoco podemos concluir que no les afecte porque una persona no haya recibido un aviso. La ausencia de correo no es un certificado de inocencia digital. Solo significa que, hasta este momento, no tienes una notificación directa de la empresa.
La información que circula sobre 147 GB, seis meses, países concretos o 75 millones de clientes no está confirmada.
Algunas de esas cifras aparecen en publicaciones de X y en comentarios que mezclan el incidente actual con otras historias. Pueden servir para entender el ruido que hay alrededor del caso, pero no para presentar el alcance como un hecho.
Tampoco conviene reciclar una alerta antigua con fecha nueva, pero no sería la primera vez ni creo que sea la última.
La alerta de INCIBE sobre 50.150 clientes corresponde a un incidente publicado en 2022, no a este caso. Es una referencia útil para entender que Revolut ya ha aparecido antes en conversaciones sobre filtraciones, pero no demuestra cuántas personas están afectadas ahora.
Hay un segundo incidente que tampoco hay que mezclar con este.
DriveWealth, el bróker estadounidense que ejecutaba las compras de acciones de EE. UU. de Revolut, sufrió un acceso no autorizado a datos de clientes en sus propios sistemas a primeros de septiembre.
Revolut lo explica en su página oficial: sus sistemas y los fondos no se vieron afectados, y quienes operaban acciones americanas recibieron dos correos, uno de DriveWealth y otro de Revolut.
Dos filtraciones distintas en pocas semanas: así que si te llega un aviso, mira quién lo firma antes de mirar qué dice.
En este artículo no voy a enlazar muestras de datos ni canales donde se compartan. Si ves una publicación que ofrece pasaportes, selfies o listas de clientes como si fueran cromos, no la conviertas en distribución gratuita.
No ayuda a investigar y puede añadir otra capa de daño a personas que ya tienen bastante encima.
¿Está tu Dinero en Peligro?
Con la información pública revisada, el riesgo confirmado es la exposición potencial de datos de identidad y de actividad financiera. No se ha atribuido a este incidente ningún movimiento de fondos.
Pero eso tampoco convierte el asunto en una anécdota cachonda.
Un nombre, una dirección, un IBAN, un extracto y un selfie de verificación pueden dar a un estafador material suficiente para construir una comunicación muy convincente. La cuenta no tiene que estar vacía para que el problema sea real.
El riesgo práctico puede aparecer más tarde, cuando alguien intente utilizar esos datos para hacerse pasar por Revolut, por un banco, por una administración o por una empresa de mensajería.
Si te llega un mensaje que conoce tu nombre y menciona un movimiento real, la sensación de legitimidad aumenta. Precisamente por eso la próxima estafa puede parecer más profesional que la anterior.
Mi guía de cómo evitar estafas en Internet merece una relectura si hace tiempo que no la miras (la voy actualizando).
No porque haya que vivir a lo prepper con casco, sino porque los datos personales no se pueden cambiar con un clic como una tarjeta.
Qué Hacer si tienes una Cuenta Revolut
1. Busca una Notificación sin entrar en pánico
Revisa el correo y las notificaciones dentro de la aplicación, pero no uses un enlace recibido para iniciar sesión. Busca SIEMPRE la comunicación desde la app oficial y comprueba el remitente con calma.
La palabra clave es confirmar cada paso, no reaccionar al primer susto.
Si recibes una notificación directa, guárdala. Anota la fecha, los datos que dice que pueden estar afectados y las medidas que ofrece Revolut. No hace falta contestar deprisa ni enviar documentación adicional a una dirección que no puedas verificar.
2. No uses los Enlaces del Correo
La recomendación aparece en su guía española sobre phishing y smishing, donde también explica que un supuesto incidente de seguridad puede ser el cebo.
Si alguien te pide que subas otra vez el pasaporte, que dictes un código o que transfieras dinero a una cuenta "segura", detente. Un dato que el estafador ya conoce puede ser precisamente la herramienta que usa para que le entregues el siguiente.
3. Protege la Cuenta si has interactuado
La ayuda oficial de Revolut recomienda bloquear la tarjeta, cambiar la clave de acceso y reportar el fraude desde la aplicación. Hazlo si has pulsado un enlace, has compartido credenciales, has entregado un código o detectas una operación que no reconoces.
Si solo has leído una noticia y no has interactuado con ningún mensaje sospechoso, no necesitas cambiar todo por reflejo.
Puedes revisar movimientos, dispositivos y notificaciones, y bloquear una tarjeta si tienes un motivo concreto para hacerlo. Se trata de limitar el daño, no de convertir una tarde normal en una auditoría forense con tres cafés (sin necesidad de comprar una lupa).
4. Pide Detalles si te han Notificado
Si Revolut te comunica que estás entre los clientes afectados, pide que te detalle qué categorías de datos se han visto comprometidas, cuándo ocurrió la comunicación, qué medidas ha aplicado y qué debes vigilar.
No puedo asegurar que la empresa vaya a contestar cada punto con el mismo nivel de detalle, pero sí que son preguntas razonables que yo mismo haría. El artículo 15 del RGPD reconoce el derecho a pedir confirmación de si se tratan datos personales y acceso a ellos.
La Agencia Española de Protección de Datos explica el derecho de acceso y enumera, entre otra información, las categorías de datos tratados, sus fines y los destinatarios o categorías de destinatarios.
Esto no es un botón mágico para obtener datos de terceros ni una promesa de indemnización, ya te lo adelanto.
Pero sí es una vía formal para entender qué información trata una entidad sobre ti y qué ha ocurrido con ella. Si vas a ejercerla, utiliza los canales oficiales de Revolut y conserva una copia de tu solicitud.
Y un dato práctico confirmado el 7 de octubre: si por este caso tienes que renovar tus documentos de identidad, Revolut se hace cargo de los costes.
Lo dijo a Reuters Béatrice Cossa-Dumurgier, CEO de Revolut para Europa Occidental, que también dejó claro que la empresa no pagará rescates: ni este ni ninguno.
5. Vigila la Segunda Estafa
El fraude original y el fraude posterior pueden ser dos capítulos de la misma historia. El primero consigue los datos. El segundo intenta convertirlos en dinero, acceso o más datos.
Desconfía especialmente de mensajes que:
- Mencionen una filtración real para pedirte una "verificación urgente".
- Incluyan tu nombre, dirección o un dato de una operación.
- Te pidan una selfie nueva, una copia del pasaporte o un código.
- Amenacen con cerrar la cuenta si no actúas en cinco minutos.
- Te ofrezcan recuperar fondos o borrar tus datos a cambio de un pago.
Si detectas un fraude, corta el contacto, bloquea lo que corresponda y repórtalo desde la app. Si ya has enviado dinero o documentos, conserva las pruebas y pide asesoramiento por los canales oficiales y, cuando proceda, a las autoridades.
Una captura puede parecer poca cosa hasta que necesitas reconstruir la película.
¿Qué significa para quien Usa Revolut en España?
La respuesta honesta es que todavía faltan datos.
Del total de unos 680 afectados hay desglose parcial: unos 12 en Irlanda y 55 en Francia. De España, ninguna cifra publicada. Pero que no salgas en un desglose no significa que no estés en el grupo, significa que nadie te lo ha dicho todavía.
España puede aparecer mencionada en publicaciones de redes, pero eso no basta para asegurar que los clientes españoles estén afectados.
Tampoco conviene trasladar automáticamente la alerta de INCIBE de 2022 a septiembre de 2026. Son dos incidentes diferentes, con fechas y descripciones diferentes. Mezclarlos solo consigue que el lector salga con una cifra antigua y una preocupación nueva.
Para el lector español, la acción sensata es doble.
Primero, comprobar si existe una comunicación directa en sus canales oficiales. Segundo, asumir que durante los próximos días puede haber intentos de suplantación y tratar cualquier mensaje inesperado como una solicitud que hay que verificar desde cero.
Si usas varias cuentas, este es un buen momento para revisar la arquitectura de tu dinero.
No porque Revolut sea automáticamente insegura, sino porque depender de una sola entidad para cada pago, cada ahorro y cada documento concentra demasiadas cosas en un solo lugar.
En mi guía sobre cómo organizar tres cuentas bancarias te explico esa lógica desde el punto de vista de la resiliencia, no de la paranoia.
¿Sigo Recomendando Revolut?
Sí, la sigo usando y recomendando, pese a esto. Y precisamente por eso lo cuento.
Llevo usando Revolut desde 2018 (ya ha llovido).
No es mi banco principal, pero para viajes y compras online sigue siendo mi navaja suiza financiera. Esa experiencia explica mi recomendación para determinados usos, no convierte una incidencia de privacidad en una campaña de marketing.
No pienso que Revolut sea perfecta, ninguna lo es (y las entidades tradicionales, aún menos). Pero tampoco creo que un fallo convierta de golpe en inútil todo el producto.
Una herramienta puede servir y, al mismo tiempo, merecer una crítica seria cuando falla un proceso de confianza. Las dos cosas caben en la misma frase. De hecho, deberían caber más a menudo.
Ahora, el matiz justo. La cifra no la dio Revolut: la dio la prensa. Y el ministro italiano tiene razón en su reproche: la petición se podía verificar, y no se hizo.
Dicho esto, reconocieron el error enseguida, entonaron el mea culpa y ofrecieron pagar lo que haga falta. Que para ellos es una minucia y la mitad de la gente ni lo va a pedir.
Pero dar la cara rápido y poner el dinero encima de la mesa es más de lo que hacen la mayoría. Lo otro, negarlo y esperar a que pase, sí que habría sido lo preocupante.
Para mí, Revolut sigue teniendo sentido como cuenta complementaria para viajes, pagos internacionales o compras online, siempre que entiendas qué haces y no conviertas ninguna fintech en tu único salvavidas.
Para el fondo de emergencia y para el dinero que necesitas dormir tranquilo, aplico el mismo criterio que explico al comparar bancos online: mirar la protección, el acceso, los límites y la concentración, no solo la aplicación bonita.
Lo que sí cambia mi evaluación es el listón de respuesta. Quiero saber a quién avisaron, qué datos concretos recibió el tercero, cuánto tiempo estuvo activo el procedimiento, cómo se corregirá y qué apoyo tendrá el cliente.
Si las respuestas son claras, la confianza puede reconstruirse, y parece que así está siendo. Si se limitasen a un "no pasa nada" mientras el cliente recibe notificaciones contradictorias, la recomendación tendría que revisarse.
No hay contradicción entre seguir utilizando Revolut y exigir explicaciones. La contradicción sería ocultar el incidente porque tengo una reseña, una relación comercial o una opinión previa.
La reseña de Revolut cuenta mi experiencia con el producto. Este artículo cuenta por qué una recomendación honesta también tiene que hablar de sus fallos.
Preguntas que están Saliendo
¿Han Robado el Dinero de las Cuentas?
La información pública revisada no atribuye a este incidente un robo de fondos.
Revolut ha indicado que sus sistemas y los fondos de los clientes siguen sin verse afectados. Eso no impide que alguien intente estafar más adelante usando datos personales o de actividad financiera.
¿Afecta a Clientes de España?
No está confirmado públicamente. De la cifra global hay desglose parcial (unos 12 afectados en Irlanda y 55 en Francia), pero España no aparece en ninguna cifra publicada. No recibir un aviso tampoco demuestra que tus datos no estén incluidos. Comprueba los canales oficiales y no respondas a mensajes que te pidan nuevas pruebas de identidad.
¿Tengo que Cerrar la Cuenta?
Tu pasta, tus reglas. No hay una respuesta universal. Si has sido notificado o has interactuado con un mensaje sospechoso, protege la cuenta y sigue el protocolo.
Si no, puedes revisar actividad, diversificar el uso y esperar información adicional antes de tomar una decisión irreversible. Cerrar una cuenta no borra los datos que la entidad ya haya tratado.
¿Es lo mismo que el Caso de 2022?
No. Es un episodio distinto, publicado por INCIBE en 2022. La cifra de 50.150 clientes pertenece a aquella noticia, no al caso actual.
En Resumen... qué Haría He Hecho yo
Yo he hecho cinco cosas. Comprobar la app y el correo sin usar enlaces (y sin ningún susto). Cambiar la clave (es gratis y son minutos) y habría bloqueado la tarjeta si hubiera interactuado con un mensaje o detectara algo raro, que no ha sido el caso.
Guardaría cualquier comunicación de Revolut. Vigilaría con especial cuidado los intentos de phishing durante las próximas semanas. Y no compartiría capturas, documentos ni rumores para alimentar el incendio.
Yo sigo usando y recomendando Revolut para los usos en los que me ha demostrado utilidad (con los ojos abiertos).
No la trataría como mi único banco ni como una entidad a la que haya que creer por real decreto. La confianza no es una pegatina que se coloca en la portada de la app. Es el resultado de lo que una empresa hace cuando algo sale mal.
En este incidente, sabemos bastante para tomárnoslo en serio y todavía no lo suficiente para rellenar los huecos con rumores.
Así que, mientras llegan más respuestas, toca hacer lo aburrido y eficaz: asegurar la cuenta, proteger los datos y leer cada mensaje con la ceja levantada.