Ingeniería social: lo que el caso Revolut enseña a las empresas

La ingeniería social es la técnica de engañar a una persona, no a un sistema, para que entregue datos, accesos o dinero; en ciberseguridad es la puerta de entrada de buena parte de las brechas. El caso Revolut de septiembre de 2026 lo demuestra: nadie rompió sus sistemas; sus empleados enviaron pasaportes, selfies de verificación y extractos a quien se hizo pasar por una autoridad. Para una empresa española, la pregunta relevante no es si tiene antivirus, sino si su póliza de ciberseguro responde cuando el error lo comete un empleado engañado.

Resumen

• Revolut entregó datos de clientes a un atacante que usó un buzón real de un dominio gubernamental para enviar falsas peticiones oficiales. La empresa asegura que sus sistemas y los fondos de los clientes no se vieron afectados.
• En España ningún seguro de ciberriesgos es obligatorio por ley, pero NIS2, DORA y el RGPD obligan a gestionar y notificar incidentes, y el mercado ya trata cuatro garantías como núcleo imprescindible.
• La garantía que más falta cuando el ataque es de ingeniería social —el fraude por suplantación— suele ser opcional o estar sublimitada.
• Muchas pólizas activan la cobertura ante un "acceso no autorizado a los sistemas". Una entrega voluntaria de datos por engaño puede quedar en tierra de nadie: conviene revisar la definición de incidente.

¿Qué pasó exactamente en el caso Revolut?

En septiembre de 2026 Revolut confirmó que un tercero no autorizado utilizó una dirección de correo de un dominio gubernamental legítimo para solicitar información de clientes, y que la entidad la facilitó creyendo que la petición era auténtica. Revolut afirma que sus sistemas y los fondos de los clientes no se vieron afectados (TechCrunch, 12/09/2026).

Lo que se sabe con fuentes contrastadas:

• Vector de ataque: peticiones de datos que imitaban requerimientos oficiales —del tipo "solicitud urgente de una autoridad"— enviadas desde un buzón real del dominio de una agencia pública. Al proceder de un dominio legítimo, los controles técnicos de autenticación del correo no las marcaban como sospechosas (BleepingComputer, 14/09/2026).
• Datos expuestos: nombre, fecha de nacimiento, dirección, correo y teléfono; copias de pasaportes y permisos de conducir; selfies de verificación; extractos con IBAN, retiradas e historial de transacciones, incluidas operaciones con criptomonedas.
• Alcance: Revolut habla de un número "limitado" de clientes y no ha dado la cifra. El Financial Times informó de unos 680 clientes contactados; Revolut no lo ha confirmado.
• Respuesta: bloqueo del buzón, aviso a los clientes afectados y comunicación a la agencia suplantada, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. La ICO británica ha abierto una investigación (crypto.news, 15/09/2026).

Otras informaciones sobre la nacionalidad del organismo suplantado, la autoría y posibles exigencias de rescate no están verificadas y no las damos por buenas. Tampoco consta, a fecha de publicación, cuántos afectados residen en España.

No es el primer caso de Revolut. En septiembre de 2022 un atacante convenció a empleados para obtener credenciales y accedió a datos de 50.150 clientes, 20.687 de ellos en el Espacio Económico Europeo; la autoridad lituana de protección de datos abrió una investigación (VDAI).

¿Por qué funcionan los ataques de ingeniería social incluso en empresas muy tecnificadas?

Los ataques de ingeniería social funcionan porque explota procesos diseñados para confiar: atender a una autoridad, ayudar a un compañero que no puede entrar en su cuenta, pagar a un proveedor habitual. La tecnología valida que el mensaje procede de donde dice; no valida que quien lo escribe tenga derecho a pedir lo que pide. Ese hueco lo cubre un procedimiento, o no lo cubre nadie.

Revolut encaja en un patrón reconocible. Estos son ejemplos de ingeniería social recientes contra grandes empresas:

El FBI ya advirtió en noviembre de 2024 del aumento de cuentas de correo policiales y gubernamentales comprometidas que se usan para enviar falsos requerimientos urgentes de datos (Krebs on Security). El caso Revolut no inaugura la técnica; la lleva al sector financiero europeo.

¿Cuáles son las técnicas de ingeniería social más comunes en empresas?

Las técnicas de ingeniería social más frecuentes contra empresas son el phishing por correo, el vishing por teléfono y el pretexto (pretexting): inventar un contexto creíble —una auditoría, un requerimiento oficial, un cambio de cuenta— para justificar la petición. Todas persiguen lo mismo: que un empleado haga algo que no haría si supiera quién está al otro lado.

¿Cuántas brechas empiezan por un engaño? Las cifras

El factor humano está presente en la mayoría de las brechas de datos y el fraude es ya el incidente más común en España. Las cifras más recientes de fuentes primarias:

• 60 % de las brechas analizadas en 2025 implicaron el factor humano (error, engaño o uso indebido de credenciales), según el Data Breach Investigations Report 2025 de Verizon, sobre 12.195 brechas confirmadas (Verizon). La edición de 2026 eleva la participación de terceros —proveedores y subcontratas— del 30 % al 48 % de las brechas (Verizon, 2026).
• 4,99 millones de dólares es el coste medio global de una brecha en 2026, y 6,3 millones en servicios financieros (IBM, Cost of a Data Breach 2026). Uno de cada cuatro ataques maliciosos ya se apoya en inteligencia artificial.
• 3.046 millones de dólares en pérdidas por business email compromise (fraude por suplantación en el correo corporativo) registró el FBI en 2025, sobre 24.768 denuncias (IC3 2025).
• +442 % creció el vishing —el engaño por llamada telefónica— entre el primer y el segundo semestre de 2024, según CrowdStrike, que señala como técnica en auge llamar al servicio de soporte para restablecer contraseñas o el doble factor (CrowdStrike, 2025).

En España:

• 122.223 incidentes gestionó el INCIBE en 2025, un 26 % más que el año anterior. 45.445 fueron fraude online (+19 %) y 25.133, phishing. De los incidentes en operadores esenciales, el 34 % afectó a la banca (INCIBE, 2026).
• 2.765 notificaciones de brechas de datos personales recibió la Agencia Española de Protección de Datos en 2025. Entre las causas principales figuran el ransomware y las credenciales comprometidas de VPN o aplicaciones web; la propia AEPD señala el doble factor de autenticación como la medida preventiva más eficaz (AEPD, 2026).
• El ciberriesgo es el primer riesgo empresarial en España y en el mundo según el Allianz Risk Barometer 2026, con un 42 % de menciones globales (Allianz).

¿Es obligatorio el ciberseguro en España?

No. A septiembre de 2026 ninguna norma española obliga con carácter general a contratar un ciberseguro, también llamado seguro de ciberriesgos o seguro de ciberseguridad. Lo que sí es obligatorio es gestionar el riesgo y notificar los incidentes, y esas obligaciones generan costes —investigación forense, abogados, notificaciones, reclamaciones— que son exactamente lo que cubre una póliza.

Las tres normas que empujan en esa dirección:

1. RGPD (arts. 33 y 34). Obliga a notificar a la AEPD una brecha de seguridad que afecte a datos personales en un plazo de 72 horas y, si hay alto riesgo, a comunicarla a los afectados. Aplica a cualquier empresa que trate datos personales, sea cual sea su tamaño.
2. Directiva NIS2 (UE) 2022/2555. Impone gestión de riesgos y notificación de incidentes a entidades esenciales e importantes de sectores como energía, transporte, salud, banca o infraestructuras digitales. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 (Ministerio del Interior), pero la ley no se ha publicado en el BOE, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso.
3. Reglamento DORA (UE) 2022/2554. Aplica desde el 17 de enero de 2025 a entidades financieras —incluidas aseguradoras y corredurías de cierto tamaño— y a sus proveedores tecnológicos críticos. Exige gestión del riesgo TIC, notificación de incidentes graves y control de terceros (DGSFP).

Ninguna de las tres exige un seguro. Pero una empresa proveedora de un banco o de un operador esencial encontrará cada vez más contratos que piden acreditar una póliza de ciberriesgos. La obligación, en la práctica, llega por vía contractual antes que por vía legal.

¿Qué coberturas son hoy imprescindibles en una póliza de ciberriesgos?

Hoy el mercado español considera núcleo imprescindible cuatro garantías: respuesta ante incidentes, daños a sistemas con pérdida de beneficios, ciberextorsión y responsabilidad civil por seguridad y privacidad. Son las que aparecen de forma consistente en los condicionados de las principales aseguradoras. El fraude por ingeniería social, en cambio, sigue siendo con frecuencia opcional.

En Vesta mantenemos una base de conocimiento que normaliza las garantías de las pólizas de ciberriesgos que analizamos, de modo que la misma cobertura con nombres distintos en cada aseguradora se compara como lo que es. Un dato ilustra por qué hace falta: solo la garantía de fraude tecnológico aparece con 12 denominaciones distintas en las pólizas de ciberriesgos que hemos incorporado —"Fraude tecnológico", "Ciberdelincuencia", "Fraude por transferencia de fondos", "Phishing"…—, y la de ciberextorsión, con 11. Comparar ofertas por el nombre de la garantía lleva a error. Esto es lo que muestra la base normalizada:

Tres matices de corredor que no suelen aparecer en las guías:

• El fraude sufre el sublímite más bajo justo donde más duele. En varias de las pólizas analizadas, el límite de la garantía de fraude tecnológico es de 40.000 € por siniestro, frente a límites de hasta un millón en respuesta ante incidentes. El fraude del CEO y el falso cambio de cuenta de un proveedor rara vez se quedan por debajo de esa cifra en una pyme con facturación relevante. Aseguradoras como BBVA Allianz (desde mayo de 2026) y Occident (en su renovación de septiembre de 2026) han ido incorporando coberturas de suplantación y phishing, lo que indica hacia dónde se mueve el mercado.
• Las multas de la AEPD no siempre son asegurables. La normativa española no lo resuelve expresamente y la DGSFP ha considerado que asegurar sanciones puede ser contrario al orden público. Por eso los condicionados cubren las sanciones "en la medida en que sean legalmente asegurables" y algunos las fijan con límite cero. No conviene contratar pensando en que la multa estará cubierta.
• Existe una tercera figura que casi nadie pide: el reembolso a clientes que pierden dinero porque un tercero suplanta a su empresa por correo. No es responsabilidad civil —la empresa no cometió un error— ni fraude propio —la víctima es el cliente—, y solo algunas pólizas la contemplan.

¿Cubriría un ciberseguro un caso como el de Revolut?

Depende de la redacción. Los gastos de respuesta y las reclamaciones de clientes afectados encajan en garantías habituales, pero muchas pólizas describen el siniestro como un acceso no autorizado a los sistemas del asegurado. En el caso Revolut no hubo intrusión: un empleado entregó los datos voluntariamente creyendo atender a una autoridad.

Esa diferencia es decisiva. En condicionados que hemos revisado, la garantía de fraude se define literalmente como la transferencia "derivada de un acceso no autorizado a los sistemas del asegurado". Una entrega de información o un pago ordenado por un empleado engañado no siempre encaja en esa definición.

Un ejemplo práctico. Una asesoría laboral de Valencia recibe un correo desde la dirección real de un organismo público, previamente comprometida, que solicita con urgencia las nóminas y los DNI de los trabajadores de un cliente. Un empleado los envía. Días después se detecta el engaño.

• Respuesta ante incidentes: cubriría la investigación forense, el asesoramiento jurídico y la notificación a la AEPD y a los trabajadores, siempre que la póliza defina el incidente incluyendo la divulgación no autorizada de datos, no solo el acceso a sistemas.
• RC por privacidad: respondería ante las reclamaciones de los trabajadores o del cliente de la asesoría, con la misma condición.
• Fraude tecnológico: no entraría en juego, porque no hubo pérdida de dinero.
• Sanción de la AEPD: dependería de su asegurabilidad y del límite pactado.

Matriz: qué garantía responde ante cada técnica de ingeniería social

Esta matriz resume cómo suelen responder las garantías de una póliza de ciberriesgos según la técnica y el daño. "Depende" significa que la respuesta la decide la definición de incidente o de fraude del condicionado concreto.

Preguntas que un corredor debería hacerle antes de cotizar

Para medir la exposición real a la ingeniería social —y no solo al malware— estas son las preguntas que conviene responder antes de pedir precio:

1. ¿Cuántas personas pueden ordenar o modificar pagos, y con qué límite sin doble aprobación?
2. ¿Cómo se verifica un cambio de cuenta bancaria de un proveedor?
3. ¿Quién atiende los requerimientos de datos de autoridades y con qué procedimiento?
4. ¿El servicio de soporte informático está subcontratado y cómo identifica a quien pide restablecer una contraseña?
5. ¿Qué datos personales sensibles trata la empresa (DNI, nóminas, datos de salud, datos bancarios de clientes)?
6. ¿Existe doble factor en el correo, la VPN y la banca online, y se ha declarado así en el cuestionario?

Las respuestas determinan qué límite de fraude tiene sentido contratar y qué redacción de incidente hay que exigir.

Antes de firmar o renovar, conviene comprobar tres puntos del condicionado:

1. Si la definición de incidente cibernético incluye la divulgación de datos por error o engaño de un empleado, además del acceso no autorizado.
2. Si la garantía de fraude por ingeniería social está contratada, qué sublímite tiene y si exige verificar por un segundo canal los cambios de cuenta bancaria.
3. Si existen exclusiones por incumplir medidas mínimas declaradas en el cuestionario, como el doble factor de autenticación o las copias de seguridad desconectadas.

¿Qué pueden hacer las empresas para no repetir el error de Revolut?

La defensa más eficaz contra la ingeniería social es un procedimiento que obligue a verificar por un canal independiente cualquier petición inusual de datos o de dinero, aunque parezca venir de una autoridad, un directivo o un proveedor conocido. La tecnología ayuda, pero el control decisivo es organizativo.

• Verificación por segundo canal. Ante un requerimiento oficial, contactar con el organismo por el teléfono o la sede electrónica que figuran en su web, nunca por los datos del propio correo.
• Un único responsable de requerimientos de autoridades. Que las peticiones de datos de juzgados, policía o administraciones pasen por un circuito definido, con revisión jurídica.
• Doble factor resistente al phishing y un protocolo estricto para restablecer contraseñas en el servicio de soporte, incluido el subcontratado.
• Formación con simulaciones periódicas, incluidas llamadas, no solo correos. Varias pólizas de ciberriesgos incluyen servicios preventivos de este tipo sin coste adicional.

Preguntas frecuentes

¿Qué es la ingeniería social?

La ingeniería social es el conjunto de técnicas que manipulan a una persona para que revele información, conceda un acceso o haga un pago. En ciberseguridad incluye el phishing por correo, el vishing por teléfono, el smishing por SMS y la suplantación de directivos, proveedores o autoridades. Ataca la confianza, no el software.

¿Cubre el ciberseguro el fraude del CEO?

Solo si la póliza incluye una garantía de fraude tecnológico o de ingeniería social, que en muchas aseguradoras es una extensión opcional con sublímite propio. Es importante revisar el importe, los requisitos de verificación de pagos y si la garantía exige un acceso no autorizado a los sistemas para activarse.

¿Es obligatorio notificar una brecha de datos en España?

Sí. El RGPD obliga a notificar a la Agencia Española de Protección de Datos una brecha que afecte a datos personales en un plazo máximo de 72 horas desde que se conoce, salvo que sea improbable que suponga un riesgo. Si el riesgo es alto, también hay que comunicarlo a las personas afectadas.

¿Cubre el seguro las multas de la AEPD?

No siempre. Las pólizas las cubren solo en la medida en que sean legalmente asegurables, y en España existe debate sobre si asegurar sanciones administrativas es compatible con el orden público. Algunas pólizas las excluyen o fijan un límite de cero. Los gastos de defensa en el procedimiento sí suelen estar cubiertos.

Conclusión

El caso Revolut recuerda que la ingeniería social no necesita romper ningún sistema: le basta con un proceso que confía y una persona con prisa. Para una empresa española, protegerse exige dos cosas a la vez: procedimientos de verificación que frenen el engaño y una póliza de ciberriesgos cuya definición de siniestro contemple la divulgación por error humano y cuyo sublímite de fraude sea realista.

Si quiere saber si su póliza actual respondería ante un caso así, en Vesta Seguros revisamos el condicionado, comparamos las garantías entre aseguradoras y le decimos con claridad qué cubre y qué no. Puede empezar por nuestra guía completa del ciberseguro o, si su empresa ya usa herramientas de IA, por el seguro de inteligencia artificial para pymes y autónomos.

Vesta Seguros es una correduría de seguros inscrita en el registro de la DGSFP. Este artículo tiene carácter informativo y no sustituye el análisis del condicionado concreto de cada póliza. Información sobre el caso Revolut actualizada a 15 de septiembre de 2026.