Crisis de reputación: las primeras horas de Revolut

Una crisis de reputación rara vez se gana o se pierde por el incidente en sí. Se decide en las primeras horas, cuando la empresa elige cómo contener el daño, a quién avisar y qué decir. Revolut acaba de pasar por esa prueba. El neobanco británico sufrió una filtración de datos justo cuando prepara su salida a bolsa para 2028. Su respuesta ofrece aciertos claros, pero también flancos abiertos que cualquier marca debería observar con atención.

Qué pasó en la filtración de datos de Revolut

La brecha se originó cuando un atacante usó una dirección de correo gubernamental legítima para pedir información privada de clientes. Revolut atendió la solicitud y entregó datos sensibles, como pasaportes, números de cuenta, domicilios, fotos de verificación y registros de actividad en bitcoin. La cifra difundida ronda los 680 clientes, al menos 25 en España, sobre una base de más de 80 millones de usuarios en el mundo. Como señaló Xataka, no se trató de una falla de sistemas, sino de un correo fraudulento que la empresa tomó por real. Ese matiz es clave para entender el reto reputacional.

La primera hora: contener el incidente

En una crisis, lo primero es detener el daño antes de explicarlo. Revolut actuó en esa línea. Según su comunicado, al conocer el incidente bloqueó de inmediato la dirección de correo involucrada. Fuentes cercanas a la entidad indicaron además que inició una auditoría interna para dimensionar el alcance. Esta secuencia es la base de cualquier protocolo sólido. Primero se cierra la vía de entrada. Después se establece cuántas personas y qué datos resultaron afectados. Sin esa información, cualquier mensaje público corre el riesgo de quedarse corto o de tener que corregirse más adelante, lo que erosiona la credibilidad.

Avisar a reguladores y autoridades sin demora

El segundo frente es institucional. Tras detectar el incidente, Revolut avisó a la agencia suplantada, a las autoridades y a los responsables de protección de datos y regulación financiera. La Oficina del Comisionado de Información del Reino Unido confirmó que investiga el caso, después de que la propia empresa se lo notificara días antes. Este punto pesa mucho en la reputación. Cuando el regulador se entera por la compañía y no por la prensa, la empresa conserva el control del relato. Para una entidad que busca cotizar, esa transparencia con los supervisores es tan importante como la que ofrece a sus clientes.

Comunicar a los afectados con claridad

El 12 de septiembre, Revolut notificó a un grupo reducido de clientes que sus datos habían caído en manos equivocadas. La empresa sostuvo que sus sistemas, bases de datos, cuentas y fondos no fueron comprometidos. También aclaró que la imagen filtrada era la selfie enviada por el cliente, no los datos biométricos usados para autenticarlo. Estas precisiones cumplen una función concreta: reducir la alarma entre millones de usuarios no afectados. En las primeras horas, el mensaje debe responder tres preguntas: qué pasó, a quién afecta y qué debe hacer cada persona. Revolut cubrió bien las dos primeras.

Los flancos abiertos del mensaje

La respuesta también dejó puntos débiles. En su comunicado, Revolut habló de “un sofisticado caso de suplantación de identidad”. Parte de la cobertura, sin embargo, puso el foco en el proceso interno que permitió entregar los datos. La compañía tampoco explicó qué agencia fue suplantada ni en qué país se originó el incidente. A esto se suma un frente delicado. Los atacantes amenazan con publicar la información si no reciben un rescate, mientras Revolut niega haber recibido una petición directa de pago. Cuando el relato de la empresa y el de terceros no coinciden, la conversación en redes se vuelve más difícil de controlar.

Por qué esta crisis pesa en su salida a bolsa

El incidente llegó en la misma semana en que el CEO, Nik Storonsky, confirmó su plan de cotizar en el Nasdaq y en la Bolsa de Londres. Antonio Castelo, analista de iBroker, considera razonable una valoración de entre 150.000 y 200.000 millones de dólares. Aun así, identifica la ciberseguridad, el fraude y la reputación como riesgos especialmente sensibles para la fintech. Según el analista, un incidente así, cerca de una oferta pública de venta, podría retrasar el debut o recortar la valoración inicial. Por eso, la gestión de las primeras horas no es solo un tema de comunicación. También puede influir en cuánto vale la empresa ante los inversores.

El caso Revolut confirma que una crisis de reputación se juega en la velocidad y la coherencia de la respuesta. Contener, notificar a reguladores y hablar con los afectados son pasos que la empresa ejecutó con rapidez. El desafío ahora es cerrar las preguntas abiertas antes de que otros las respondan por ella. Con una salida a bolsa en el horizonte, cada decisión de comunicación suma o resta confianza.