La filtración de Revolve dejó al descubierto las tarjetas guardadas de al menos 197.072 clientes, y la cifra todavía no es la definitiva. Un intruso entró a la plataforma de compras de la tienda de moda el 11 de septiembre de 2026 y pudo llevarse nombres, datos de contacto, números de tarjeta de pago y fechas de vencimiento de las cuentas que tenían un método de pago guardado para comprar más rápido. La empresa no ha publicado el total de afectados.
El conteo salió de sumar los avisos presentados ante las fiscalías estatales. SecurityWeek reunió las notificaciones de Iowa, Massachusetts, Carolina del Sur, Texas y Vermont y llegó a esas 197.072 cartas enviadas; la actualización de este martes sumó 17.813 residentes de Carolina del Sur a la suma previa. Texas concentra la mayor parte, con 127.200 avisos, seguido de Massachusetts con 46.813. Cada estado que publique su aviso puede mover la cifra hacia arriba.
Qué datos salieron y a quiénes alcanza el aviso
Afecta a un grupo muy concreto: clientes que guardaron su tarjeta en la cuenta de compras en línea de Revolve. En su documento del 29 de octubre ante la Comisión de Bolsa y Valores de Estados Unidos (SEC, por sus siglas en inglés), la empresa escribió que un actor no autorizado pudo obtener, por medios automatizados, el nombre, la información de contacto, el número de tarjeta y su fecha de vencimiento de parte de esos clientes. Quien pagaba como invitado, sin guardar el método de pago, queda fuera de esa descripción.
Hay un dato que los documentos no traen: los códigos de seguridad de tres dígitos impresos al dorso de la tarjeta no aparecen mencionados ni en el aviso bursátil ni en las cartas estatales. Eso limita parte del daño, porque muchas tiendas en línea piden ese código en cada compra, pero el número completo con su vencimiento alcanza para intentar cargos en comercios con controles flojos y para armar intentos de fraude telefónico con nombre y dirección reales de la víctima.
Tampoco hay explicación del acceso. Revolve no ha dicho quién entró, por qué puerta lo hizo ni cuánto tiempo duró la actividad dentro de sus sistemas. La cronología pública es corta: acceso el 11 de septiembre y, para el 29 de septiembre, la investigación ya tenía identificado el tipo de datos en juego. Las cartas a los clientes empezaron a salir el 29 de octubre, siete semanas después de la intrusión, y la empresa también reportó el caso ante la fiscalía de California.
Sin monitoreo de crédito gratis para los afectados
La respuesta al cliente viene sin el beneficio que suele acompañar a estos avisos. Revolve no ofrece monitoreo de crédito ni protección contra robo de identidad sin costo; sus cartas piden revisar los estados de cuenta, reportar de inmediato cualquier cargo no reconocido al emisor de la tarjeta y valorar alertas de fraude o la congelación del crédito ante las tres grandes agencias de informes crediticios. Para dudas mantiene un centro de llamadas que atiende de lunes a viernes, de 9 de la mañana a 9 de la noche, hora del Este.
En el frente corporativo, el documento ante la SEC afirma que la actividad quedó contenida y corregida, que la empresa avisó a las autoridades federales, contrató expertos externos de ciberseguridad y que la tienda nunca dejó de operar. Revolve Group, con sede en Cerritos, California, opera las plataformas Revolve y FWRD, vende ropa, calzado, accesorios y productos de belleza, y cotiza en la Bolsa de Nueva York. Su propia valoración bursátil anticipa que el incidente no tendrá un efecto material en el negocio.
El patrón se repite en sectores muy distintos: la brecha de Amadeus expuso datos de pasajeros de siete aerolíneas y cada aviso estatal fue redibujando el tamaño real del problema semanas después. En el comercio electrónico el incentivo es otro. Guardar la tarjeta recorta la compra a dos toques y reduce los carritos abandonados; ese mismo archivo concentrado, con número y vencimiento de cientos de miles de cuentas, es el botín que un ataque automatizado busca primero.
Para quien compró en Revolve o en FWRD con tarjeta guardada, la revisión útil es aburrida y concreta: mirar los movimientos de septiembre en adelante, poner atención a cargos pequeños de prueba, activar las alertas de compra del banco y borrar las tarjetas guardadas que ya no se usan en tiendas de compra ocasional. Las tarjetas virtuales con número desechable, que varios bancos ofrecen sin costo en su aplicación, dejan este tipo de filtración con mucho menos valor para el intruso.
El número final de afectados sigue abierto. Revolve no ha entregado su propio total, tampoco ha respondido las preguntas que SecurityWeek le envió sobre el caso, y los avisos estatales conocidos cubren solo cinco estados de un país donde la tienda vende en todo el territorio. Las 197.072 cartas son el piso documentado de la filtración de Revolve, no su techo.
Fuente: SecurityWeek
