Revolut en el punto de mira: hackers alegan datos policiales italianos y España alerta de robo de datos con IA

El 2026-09-16, hackers afirmaron haber realizado un ataque contra Revolut vinculado al aparato antisecuestro y antiterrorista italiano, alegando que obtuvieron datos policiales de Italia. El informe, atribuido a ANSA, enmarca el incidente como un golpe operativo contra un banco británico por parte de una “unidad antimafia” y una “unidad antiterrorista” que actuarían en el contexto de la reclamación del ataque. Por separado, según BleepingComputer, las autoridades de protección de datos de España fueron notificadas de lo que se describe como el primer presunto robo de datos impulsado por IA. La Agencia Española de Protección de Datos (AEPD) indicó que el incidente implicó un agente de IA alimentado por un modelo de lenguaje grande (LLM) conocido, desplazando el relato del riesgo desde la intrusión tradicional hacia la extracción asistida por IA. Geopolíticamente, este conjunto de noticias apunta a una ampliación del nexo entre inteligencia y finanzas, donde los conjuntos de datos de fuerzas del orden pasan a ser objetivo y, potencialmente, moneda de intercambio. Si la afirmación sobre Revolut resulta creíble, sugiere que los adversarios pueden conectar ecosistemas nacionales de aplicación de la ley con plataformas financieras transfronterizas, elevando el coste político de la soberanía de datos en Europa y la cooperación antiterrorista. El caso español subraya que los agentes de IA pueden ponerse en funcionamiento con rapidez, quizá superando la capacidad de respuesta y los marcos de gobernanza existentes, y generando asimetría entre reguladores y atacantes. Mientras tanto, un reporte desde una conferencia de Handelsblatt añade una dimensión regulatoria: BaFin, en Alemania, está señalando que las aseguradoras deben mejorar el uso de datos en sistemas de IA, lo que implica que las brechas de cumplimiento podrían ser explotadas o, al menos, convertirse en un riesgo reputacional y de supervisión. Las implicaciones de mercado se concentran en servicios financieros y en el aseguramiento intensivo en datos. Para la fintech, un incidente vinculado a Revolut puede presionar el sentimiento sobre los controles de riesgo de la banca digital, con posibles efectos en cadena para el procesamiento de pagos, la verificación de identidad y los proveedores de detección de fraude. Para las aseguradoras, el foco de BaFin en el uso de datos en IA incrementa la probabilidad de una supervisión más estricta, lo que puede traducirse en mayores costes de cumplimiento y en un despliegue más lento de la fijación de precios o la automatización de siniestros basada en IA. En el corto plazo, las señales de mercado más visibles podrían ser volatilidad en acciones de ciberseguridad y regtech, ampliación de diferenciales en el seguro cibernético y mayor demanda de herramientas de gobernanza de datos en jurisdicciones de la UE. Lo que conviene vigilar a continuación es si las autoridades validan la afirmación sobre los datos de Revolut, identifican los conjuntos de datos concretos supuestamente accedidos y determinan si se exfiltraron datos personales o credenciales. En España, el desencadenante clave será si la AEPD confirma el papel del agente de IA como extractor autónomo y si encaja con capacidades conocidas de LLM o con flujos de trabajo de prompts a medida. En Alemania, los plazos dependerán de las expectativas de supervisión de BaFin para las aseguradoras: busque nuevas guías, acciones de cumplimiento o planes de remediación exigidos vinculados a la gobernanza de datos en IA. La escalada se indicaría con nuevas reclamaciones transfronterizas que involucren datos de fuerzas del orden, mientras que la desescalada llegaría con contención rápida, atribución clara y divulgaciones coordinadas por parte de los reguladores.

Implicaciones Geopolíticas

• 01

  El ataque transfronterizo a plataformas financieras usando datos de fuerzas del orden podría tensar la soberanía de datos en la UE y la cooperación antiterrorista.

• 02

  La intrusión asistida por IA reduce la barrera operativa del atacante, quizá superando la capacidad de respuesta y gobernanza de los reguladores nacionales.

• 03

  La convergencia regulatoria (AEPD/BaFin) podría acelerar la aplicación de normas en toda la UE sobre el manejo de datos en IA, afectando cómo las instituciones financieras despliegan IA.

Señales Clave

• —Si las autoridades de Italia y el Reino Unido validan la afirmación sobre Revolut y especifican qué conjuntos de datos policiales se habrían accedido.
• —Conclusiones de la AEPD sobre la autonomía del agente de IA, el LLM utilizado y si el ataque implicó exfiltración de datos personales o credenciales.
• —Nuevas guías o acciones de cumplimiento de BaFin para la gobernanza de datos en IA de las aseguradoras, con plazos de remediación.
• —Nuevas reclamaciones públicas de actores de amenaza que mencionen otras bases de datos de fuerzas del orden.