Revolut y DriveWealth: quién custodia tu dinero cuando inviertes desde una app

A Revolut no le han robado nada. Los datos salieron de una empresa de la que la mayoría de sus clientes no había oído hablar, y esa es la lección que interesa a cualquiera que tenga dinero invertido a través de una app.

Los clientes de Revolut que compraron acciones americanas desde la aplicación han recibido un correo con el asunto «Actualización sobre el incidente de seguridad de DriveWealth». No es phishing: la propia Revolut confirma que es auténtico y que quien lo recibe «podría verse afectado».

Qué ha pasado

Entre el 4 y el 5 de septiembre alguien accedió a los sistemas de DriveWealth, una empresa estadounidense. Según la compañía, fue una «campaña sofisticada de ingeniería social»: se engañó a personas, no a ordenadores. Se obtuvieron datos de clientes históricos: nombre, email, teléfono, dirección postal, información laboral, país, edad, sexo y el número parcial de la cuenta.

Según DriveWealth y Revolut, no salieron contraseñas, datos de tarjeta, cuentas bancarias ni documentos de identidad, y no se ha detectado ninguna operación no autorizada.

Hay un detalle que casi no se ha contado: es el segundo incidente de Revolut en septiembre. El día 12 la entidad reconoció haber entregado datos de un número «limitado» de clientes (la prensa habla de unos 680) a alguien que se hizo pasar por un organismo público italiano usando un buzón oficial comprometido. Ahí sí salieron pasaportes, selfies de verificación y extractos.

Quién es DriveWealth y por qué tenía esos datos

Quien abre la pestaña de acciones en una app como Revolut no abre una cuenta «en Revolut» sin más. Firma con una cadena de empresas. Hasta diciembre de 2023, para los clientes europeos esa cadena terminaba en DriveWealth LLC, un bróker de Nueva Jersey que pone la infraestructura para que otras apps ofrezcan acciones americanas. El cliente ve el logo de la app, pero la cuenta de valores estaba a su nombre en DriveWealth.

En diciembre de 2023 Revolut pasó a los clientes del Espacio Económico Europeo a una sociedad propia, Revolut Securities Europe UAB, regulada por el Banco de Lituania. DriveWealth conservó los datos anteriores porque la normativa le obliga a guardarlos durante años. Por eso, casi tres años después, una empresa con la que ya no tienes relación te escribe para decirte que tus datos han salido de sus servidores.

Esta es la primera lección: cuando inviertes a través de una app, tus datos y tu dinero viven en empresas que no aparecen en el logo, en países que no elegiste y bajo reglas que casi nadie lee.

Que te roben los datos no es que te roben el dinero

Un número parcial de cuenta y una dirección no permiten mover un euro. Permiten algo más lento: que alguien llame o mande un SMS haciéndose pasar por Revolut o DriveWealth, con datos reales para parecer creíble, y convenza a la víctima de que mueva ella misma el dinero «a una cuenta segura». Ese es el riesgo real.

La protección del dinero depende de otra cosa: quién custodia los valores, a nombre de quién y bajo qué fondo de garantía.

• Si el bróker es una entidad española, el FOGAIN cubre hasta 100.000 € por cliente si la entidad quiebra o no devuelve los valores.
• Si es la filial lituana de Revolut, el esquema lituano cubre hasta 22.000 €.
• Las acciones se guardan en una cuenta ómnibus: a nombre de Revolut Securities, no del cliente, mezcladas con las del resto. No es ilegal ni raro; es el modelo de la mayoría de brókeres de bajo coste.

Ningún fondo de garantía cubre que la bolsa baje; cubre que el intermediario desaparezca con los valores. La custodia tampoco es igual en todas partes: en la banca privada en Luxemburgo para residentes en España la verás en el otro extremo de la escala.

Tres preguntas para cualquier app

1. ¿Quién custodia mis valores y a nombre de quién? Si la respuesta es «cuenta ómnibus a nombre de una sociedad lituana», no pasa nada, pero conviene saberlo.
2. ¿Qué fondo de garantía me cubre y hasta cuánto? 100.000 € en España, 22.000 € en Lituania; 20.000 € es el mínimo europeo.
3. ¿Puedo traspasar mis valores a otro bróker sin vender? En Revolut, según sus propias condiciones, no: solo se puede vender y sacar el efectivo, y vender significa tributar por la plusvalía.

La tercera pesa más de lo que parece. Con los fondos de inversión en España, el traspaso entre entidades no tiene coste fiscal, y eso cambia dónde conviene tener el dinero a largo plazo.

Qué hacer con el correo

Nada dramático. No hace falta cambiar contraseñas, porque no se han filtrado, pero sí activar la verificación en dos pasos si no lo estaba. Y sobre todo: cualquier llamada, SMS o correo «de Revolut» o «de DriveWealth» que pida mover dinero, dar un código o instalar algo es una estafa, por mucho que conozcan tu nombre y tu dirección.

Dos incidentes en un mes no demuestran que el dinero esté en peligro, pero son un dato, y los datos se usan. La regla es sencilla: el dinero que no puedes permitirte que se complique va donde la custodia esté clara, el fondo de garantía sea suficiente y puedas salir sin peaje.

Contenido educativo. No constituye asesoramiento financiero ni una recomendación de compra, venta o contratación de ningún producto o servicio. Los datos sobre los incidentes proceden de las comunicaciones públicas de DriveWealth y Revolut y de prensa especializada, con fecha 27-09-2026.

Última actualización: 5 de noviembre de 2026.

Eduardo Estallo