Revolut, el neobanco británico con operaciones en varios países de América Latina, sufrió una brecha de seguridad que expuso pasaportes y registros de transacciones de clientes, según informó el medio especializado Safestate el 14 de septiembre de 2026. La magnitud exacta del incidente —número de afectados, ventana temporal de exposición y geografías involucradas— no había sido confirmada públicamente al momento de publicación.
La información publicada indica que entre los datos comprometidos figuran documentos de identidad —pasaportes— y registros de movimientos financieros, una combinación especialmente sensible porque habilita tanto el robo de identidad como la reconstrucción del perfil económico de las personas afectadas. Según se informó, el incidente fue revelado por fuentes externas a la compañía, sin que Revolut haya emitido una comunicación oficial detallada al momento del reporte.
Datos confirmados al cierre de esta edición
- Tipos de datos expuestos: documentos de pasaporte y registros de transacciones financieras, según Safestate.
- Actor involucrado: Revolut, fintech con licencia bancaria en la Unión Europea y presencia en mercados de LATAM.
- Fecha del reporte: 14 de septiembre de 2026.
- Número de afectados: no confirmado públicamente.
- Vector de ataque: no divulgado.
Qué se sabe y qué falta confirmar
Lo confirmado hasta ahora es la naturaleza de los datos expuestos: documentación de identidad y registros financieros. Lo que permanece sin verificar es si el incidente involucra clientes de jurisdicciones latinoamericanas —donde Revolut ha expandido operaciones—, qué período de tiempo abarca la exposición, y si existió exfiltración activa o se trató de una exposición accidental. Tampoco se ha confirmado si Revolut notificó a las autoridades de protección de datos correspondientes, obligación exigible bajo la normativa europea (GDPR, artículo 33) en un plazo de 72 horas desde el conocimiento del incidente.
En América Latina, la exposición de pasaportes activa obligaciones similares bajo marcos como la Ley 25.326 de Argentina, la LGPD brasileña (artículo 48, notificación a la ANPD y a los titulares en plazo razonable) y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México. Si clientes de estas jurisdicciones están entre los afectados, las autoridades de control —AAIP en Argentina, ANPD en Brasil, INAI en México— tendrían competencia para requerir información y, en su caso, iniciar actuaciones.
El próximo hito crítico es la confirmación —o desmentida— oficial de Revolut sobre el alcance geográfico del incidente y el estado de las notificaciones regulatorias, dato que determinará qué autoridades de protección de datos en LATAM pueden activar sus facultades de investigación.
