Una vulnerabilidad en los sistemas de DriveWealth, la plataforma de negociación de acciones estadounidenses que opera como proveedor de Revolut, dejó expuestos datos personales históricos de clientes de la fintech. El acceso no autorizado ocurrió el 4 y 5 de septiembre de 2026 a través de una campaña de ingeniería social ejecutada por terceros desconocidos, según confirmaron ambas empresas en avisos enviados el jueves a los usuarios afectados.
¿Qué información quedó comprometida en la brecha de DriveWealth?
La exposición incluyó datos de contacto, información laboral y datos demográficos de los clientes, junto con un número parcial de cuenta del corredor. Entre los registros potencialmente comprometidos figuran nombres, correos electrónicos, números telefónicos, direcciones postales, país de ciudadanía, edad y género. Sin embargo, DriveWealth confirmó que no se expusieron contraseñas ni datos de pago, como números de tarjetas o cuentas bancarias.
Revolut aclaró que sus propios sistemas no fueron alcanzados por el incidente y que no detectó actividad irregular en las cuentas de los usuarios. La información comprometida corresponde a registros históricos que DriveWealth mantenía de clientes que habían contratado directamente con la firma en el pasado, una relación que coexistía con sus acuerdos con Revolut. El corredor retuvo esos datos para cumplir con obligaciones legales y regulatorias.
¿A cuáles clientes de Revolut alcanzó la brecha?
El impacto varía según la región. En el Espacio Económico Europeo, Revolut trasladó a los clientes fuera del acuerdo con DriveWealth en diciembre de 2023, por lo que los registros expuestos podrían corresponder únicamente a información anterior a esa fecha. En Reino Unido y Australia, el cambio ocurrió en junio de 2025. En Estados Unidos, el incidente puede involucrar a clientes que hayan utilizado activamente la negociación de acciones estadounidenses.
La brecha no se limitó a usuarios de Revolut. La plataforma australiana Stake alertó a sus clientes el 21 de septiembre, mientras que la neozelandesa Hatch lo hizo al día siguiente. En los avisos dirigidos a estos usuarios también se mencionaron valores de cartera y saldos de efectivo, datos que no aparecen entre las categorías atribuidas a clientes de Revolut. DriveWealth reportó aproximadamente 62.000 residentes afectados en Rhode Island según su publicación en el sitio web de la firma.
Medidas de seguridad y recomendaciones para usuarios
Ambas empresas confirmaron que no encontraron operaciones, transferencias ni retiros no autorizados vinculados con la brecha. Revolut emitió una advertencia clara: ninguna de las compañías solicitará códigos de acceso ni indicará a los clientes mover dinero a otra cuenta. Esta recomendación resulta crítica porque los datos de contacto y perfiles pueden servir para diseñar mensajes de ingeniería social que parezcan legítimos.
DriveWealth reportó el incidente a la autoridad de protección de datos de Lituania. Los clientes afectados recibieron notificaciones individuales con detalles específicos sobre qué información podría estar comprometida en sus casos. Las empresas recomendaron desconfiar de cualquier contacto que solicite credenciales o movimientos de fondos en nombre de Revolut o DriveWealth.
Contexto de seguridad para Revolut en septiembre de 2026
La brecha de DriveWealth constituye el segundo incidente de datos que Revolut confirmó durante septiembre. El 12 de septiembre, la empresa reconoció que había entregado pasaportes de clientes a estafadores que se hicieron pasar por funcionarios del gobierno. Ambos casos subrayan los riesgos asociados con la cadena de proveedores en el ecosistema fintech y la importancia de la seguridad en múltiples capas.
Revolut, valorada en US$ 115.000 millones, planea una doble cotización bursátil en Londres y Nueva York. Aunque estos incidentes de seguridad no modifican directamente ese plan, suman contexto relevante en el momento en que la empresa busca expandir su presencia en mercados financieros regulados. La separación entre la infraestructura de Revolut y sus proveedores es clave para entender el alcance de cada brecha, aunque para los usuarios pueda resultar difícil de distinguir.
Impacto de la brecha de DriveWealth para empresas y administradores de negocios
Para dueños y administradores de empresas que utilizan plataformas fintech como Revolut, este incidente refuerza la necesidad de revisar los términos de servicio y los proveedores asociados. La exposición de datos históricos en sistemas de terceros subraya que la seguridad de la información no depende únicamente de la plataforma principal, sino también de toda la cadena de proveedores que procesan datos financieros.
Las empresas deben evaluar cómo sus datos personales y los de sus empleados se distribuyen entre múltiples plataformas y proveedores, y solicitar a sus proveedores fintech información clara sobre dónde se almacenan los registros históricos y cuánto tiempo se conservan. La recomendación es monitorear activamente las cuentas en busca de actividad inusual y mantener protocolos de seguridad reforzados para acceder a servicios financieros críticos. La ingeniería social, como la que permitió el acceso a DriveWealth, también representa un riesgo interno que las organizaciones deben mitigar con capacitación continua.
