El rápido crecimiento de Revolut y el ciberataque sufrido ponen en guardia a los reguladores bancarios

En un mercado con siglos de historia, como es el bancario, las innovaciones no suelen ser muy comunes. Pero la eclosión de internet, ya en las décadas pasadas, puso el sector patas arriba, al desencadenar en el cierre de miles de sucursales tradicionales y llevar el negocio a la web. Los bancos, habituados a un mercado con elevados costes de entrada y pocos jugadores, alertaban de que este proceso podía suponer la irrupción de nuevos competidores como las denominadas fintech o las grandes tecnológicas dedicadas a otras líneas de negocio. Este momento ha llegado. Y el nombre de la bestia negra para el sector es Revolut.

El proyecto nació de la mano de Nik Storonsky, un emigrante ruso llegado al Reino Unido. La firma, en un principio, se centraba en una oferta accesoria, como tarjetas de viaje o productos de inversión. Pero en solo unos pocos años ya se ha convertido en uno de los grandes bancos europeos. Cuenta con más de 80 millones de clientes en todo el mundo, está presente en más de una treintena de países europeos (incluido el complicado mercado británico), se encuentra en plena expansión en América Latina con el foco puesto en países como México y prepara su desembarco en Estados Unidos. Además, trabaja en una futura salida a Bolsa. En España suma siete millones de clientes y se coloca como el cuarto mayor banco de acuerdo a esta magnitud, superando al Sabadell.

Este vertiginoso crecimiento, que se ha producido en poco más de dos años, ha levantado no pocas alertas entre los reguladores y supervisores de la banca. El Banco Central Europeo (BCE) ya recibió con una ceja arqueada la irrupción de esta nueva entidad. Su origen se veía, en ese momento, como algo exótico. Pese a que Storonsky vivía en Londres desde hace décadas, eligió Lituania como sede del banco para la Unión Europea y desde allí pilotaba su actividad en el resto de países, dado que así se lo permitía la legislación comunitaria. Fuentes del mercado afirman que la elección de ese mercado se debió a la laxitud del Banco de Lituania.

La supervisión sobre Revolut pasó poco después a depender directamente del BCE, dado el tamaño que estaba tomando. Los rumores de tensiones con la institución que preside Christine Lagarde han sido constantes en los últimos tiempos. Finalmente, Revolut ha anunciado que abrirá una nueva sede europea en París este año, con autorización del Banco de Francia, y de la que dependerán sus negocios en el país galo, Alemania, España, Irlanda, Italia y Portugal. Algunas fuentes afirman que la razón está en las complicadas relaciones con el Banco de Lituania; otras apuntan a una indicación del BCE, que temía que si este banco sufría problemas en el futuro le supusiera un agujero catastrófico a esta pequeña república báltica. Desde el banco, en cambio, se sitúa el movimiento como un paso natural para continuar con su senda de crecimiento y niegan que se lo sugiriese ningún supervisor.

Sea como fuere, lo cierto es que las dudas con Revolut no se han circunscrito a la ubicación de su sede. Fuentes financieras comentan que el principal recelo se centra en el agresivo proceso de captación de clientes y en apertura de cuentas. Se trata de una fórmula muy rápida e innovadora, que permite que los clientes se den de alta en unos pocos minutos tras descargarse la aplicación digital, lo que en el argot financiero se conoce como onboarding. Los supervisores de cada nación, incluido el Banco de España, vigilan muy cuidadosamente que la rapidez y flexibilidad no supongan vulnerar los férreos controles de blanqueo de capitales y conocimiento del cliente.

“Lo que más le preocupa al BCE es el onbording, pero también la calidad de los depósitos. Es decir, cuánto tiempo tardaría en abandonar el banco todo el dinero que ha captado en cuentas corrientes si la entidad tiene problemas o simplemente aparece otro competidor que les hace una oferta mejor”, asegura un asesor de varios grandes bancos españoles.

Todo este cóctel previó se agitó con fuerza este mes de septiembre. Revolut admitió que había sufrido un ciberataque, que le supuso un robo de datos de unos 680 clientes. Los hackers consiguieron engañar al banco haciéndose pasar por una autoridad italiana y este les dio esos datos sin sospechar en un principio. El episodio ha añadido ahora la sombra de problemas de ciberseguridad a todo lo anterior.

“Es posible que con esto el BCE hiperreaccione. Revolut es un animal que no conoce. Parte del problema en este caso puede estar también ligado a su forma de trabajar, mucho más horizontal y organizada por proyectos que en los grandes bancos, que es más piramidal. Es algo que les ha dado mucha agilidad y capacidad de competir, pero también abre determinados interrogantes sobre sus procesos internos”, explica una fuente del sector.

“Revolut ha detectado recientemente un sofisticado caso de suplantación de identidad en el que un tercero no autorizado utilizó el dominio legítimo de correo electrónico de una agencia gubernamental para solicitar información de forma fraudulenta. En cuanto tuvimos conocimiento del incidente, bloqueamos de inmediato la dirección de correo involucrada y notificamos tanto a la agencia gubernamental como a las autoridades competentes, a los reguladores de protección de datos y a los reguladores financieros correspondientes. Los sistemas de Revolut y los fondos de nuestros clientes no se han visto afectados. Ya nos hemos puesto en contacto directamente con el reducido número de personas afectadas para informarles de lo sucedido y ofrecerles todo nuestro apoyo”, afirma un portavoz del banco como respuesta a la última polémica.

Los expertos informáticos, por su parte, alertan de que un caso así no debe preocupar solo a firmas nóveles como Revolut, sino a todas las empresas. Desde la consultora tecnológica NTT Data, con un potente departamento de ciberseguridad que asesora a muchos bancos, señalan la necesidad de que los bancos se protejan ante ataques a sus cadenas de suministro. “Los hackers ya no atacan a las infraestructuras. Se trata de suplantación de identidad y ataques desde terceros”, explican.

No en vano, el BCE ha situado la protección cibernética y la resiliencia de las entidades a este respecto como una de sus prioridades supervisoras. Por ello, en 2024 realizó un test de estrés específico sobre la protección de las entidades a este tipo de ataques y actualmente ha puesto el foco en la inteligencia artificial -en concreto, en el modelo Mythos de Antrophic- por su potencial para atacar los parches de seguridad de las entidades. Los bancos deberán detallar su plan para abordar este nuevo riesgo antes de finales de mes.