Revolut confirma divulgação de dados; resgate de US$ 3 milhões ainda não foi comprovado

A Revolut confirmou que informações sensíveis de clientes foram divulgadas a uma parte não autorizada depois que a empresa recebeu solicitações fraudulentas enviadas a partir de um domínio de e-mail legítimo de órgão governamental. A companhia classifica o episódio como um golpe externo de personificação e engenharia social — e não como uma invasão confirmada de seus sistemas centrais. 12

O caso também gerou uma alegação pública de resgate feita por um grupo que usa o nome “iamnotavillain”. Há, porém, uma ressalva essencial: a Revolut disse à Reuters que não recebeu contato direto nem exigência de resgate das pessoas que afirmam estar por trás do caso. 2

O que a Revolut confirmou

Segundo a declaração da Revolut reportada pela Reuters, fraudadores usaram um domínio de e-mail legítimo de uma agência governamental para enviar pedidos enganosos de informações sobre clientes. A empresa acabou fornecendo dados sensíveis a uma parte não autorizada antes de detectar a fraude. 1

A Revolut informou que notificou os clientes afetados e, inicialmente, descreveu o número como “muito limitado”. Posteriormente, a Reuters informou que o incidente teria envolvido cerca de 680 clientes, número que não havia sido divulgado pela empresa em sua primeira manifestação pública. 12

Reportagens baseadas nas notificações enviadas aos afetados indicam que as informações expostas podem incluir dados de identificação e contato, como data de nascimento, endereços, telefones e cópias de documentos de identidade. O TechCrunch relatou que o material também pode incluir selfies de verificação, extratos de conta e outros dados ligados à conta. 5

Os sistemas da Revolut foram invadidos?

Com base no relato da Revolut e em informações de uma fonte a par do caso, a infraestrutura central, os bancos de dados e as contas de clientes da Revolut não foram invadidos. A empresa também afirmou que seus sistemas e os fundos dos clientes não foram afetados. 12

A distinção é relevante: o evento confirmado foi uma divulgação de dados induzida por pedidos fraudulentos, e não uma intrusão técnica confirmada nos sistemas de contas ou nos bancos de dados da empresa. As reportagens públicas não comprovam de forma independente todos os detalhes técnicos do episódio; portanto, não se deve ampliar seu alcance além do que foi confirmado. 12

A suposta cobrança de US$ 3 milhões

Segundo reportagem do Financial Times citada pela Reuters, os responsáveis que alegam ter participado do caso ameaçaram vender registros confidenciais de centenas de clientes da Revolut a grupos criminosos se a empresa não pagasse US$ 3 milhões em 24 horas. 2

Outras publicações identificam o pagamento exigido como 6.000 Monero (XMR), valor estimado em aproximadamente US$ 3 milhões naquele momento, e apontam “iamnotavillain” como o suposto autor. O grupo teria publicado o ultimato na internet com uma contagem regressiva e afirmado que não houve negociação. 46

Esses detalhes são alegações feitas pelos supostos atacantes ou atribuídas a eles. Não comprovam que a identidade do grupo seja autêntica, que ele tenha todos os registros que diz possuir ou que consiga realizar a venda ameaçada. A afirmação da Revolut de que não recebeu uma exigência direta aumenta a incerteza sobre a situação desse ultimato público. 26

O que se sabe — e o que ainda não foi verificado

Sustentado pela declaração da Revolut e por reportagens de veículos relevantes

• Solicitações fraudulentas enviadas de um domínio legítimo de órgão governamental levaram à divulgação não autorizada de informações sensíveis de clientes. 1
• A Revolut afirma que seus sistemas e os fundos dos clientes não foram afetados. 1
• A Reuters informou que a empresa não teve contato direto nem recebeu um pedido de resgate dos supostos responsáveis. 2
• As reportagens estimam que aproximadamente 680 clientes foram afetados. 24

Ainda não verificado ou dependente das alegações dos supostos atacantes

• Se “iamnotavillain” é de fato a pessoa ou grupo responsável pela divulgação. 26
• Se o grupo possui o conjunto completo de registros que afirma ter. 26
• Se algum dado foi vendido, compartilhado ou usado por outros grupos criminosos. 2
• A sequência técnica e operacional completa que fez as solicitações fraudulentas parecerem legítimas. 12

Em resumo

As evidências disponíveis apontam para uma conclusão mais restrita, mas séria: a Revolut divulgou dados sensíveis de clientes após ser enganada por solicitações fraudulentas que pareciam vir de um domínio oficial de governo. A empresa contesta que sua infraestrutura central ou as contas de clientes tenham sido invadidas. 12

A exigência de US$ 3 milhões em Monero, o prazo de 24 horas, a contagem regressiva e a atribuição ao nome “iamnotavillain” foram relatados publicamente, mas continuam sendo alegações vinculadas aos supostos atacantes. Sem confirmação independente, elas devem ser tratadas separadamente da divulgação de dados que a Revolut confirmou. 26