Vazamento na Revolut: falsos pedidos oficiais expuseram dados de clientes

A Revolut informou que dados sensíveis de clientes foram entregues a uma parte não autorizada depois que a empresa respondeu a solicitações fraudulentas enviadas a partir de um endereço em um domínio legítimo de órgão público. A divulgação, feita em 12 de setembro, chama atenção porque os invasores aparentemente não precisaram invadir os sistemas centrais da fintech: exploraram a confiança em um canal que parecia oficial. A Revolut afirma ter avisado os clientes afetados e diz que seus sistemas e os fundos dos clientes não foram comprometidos. 134

O que a Revolut confirmou

Segundo a empresa, pedidos fraudulentos de informações vieram de um endereço de e-mail pertencente a um domínio real de órgão governamental, levando ao compartilhamento de dados de clientes com terceiros não autorizados. A Revolut classificou o episódio como um “golpe sofisticado de falsificação de identidade”, disse que bloqueou o endereço quando detectou a fraude e alertou as autoridades competentes. 13448

A distinção é importante: as informações disponíveis não demonstram que invasores tenham acessado a infraestrutura bancária central da Revolut nem os fundos dos clientes. O que está confirmado é que o processo usado para atender pedidos externos sensíveis foi enganado. 134

Como a falsificação teria funcionado

O ponto confirmado é restrito, mas relevante: os pedidos usaram um endereço em um domínio governamental verdadeiro. Um domínio tecnicamente autêntico pode dar aparência de normalidade a uma solicitação fraudulenta, sobretudo quando equipes precisam processar com rapidez demandas judiciais ou de autoridades policiais. 135

Reportagens posteriores relacionaram o remetente à infraestrutura italiana de e-mail certificado PEC e ao domínio pec.interno.it, ligado ao Ministério do Interior da Itália. Essa atribuição não foi confirmada de forma independente pela Revolut nem pelas autoridades italianas no material disponível. Portanto, deve ser tratada como uma linha de investigação relatada, e não como descrição comprovada do ataque. 37

A lição é clara: a autenticidade do domínio de e-mail, por si só, não basta para validar um pedido de dados altamente sensíveis. A solicitação precisa ser confirmada por um canal independente de contato conhecido da instituição e passar por controles de escalonamento antes que registros sejam fornecidos.

Quantas pessoas foram afetadas?

Inicialmente, a Revolut disse que o incidente atingiu um número “muito limitado” de clientes, sem divulgar uma quantidade. 1

Reportagens posteriores estimaram o total em cerca de 680 clientes no mundo, entre eles 12 clientes irlandeses. Como a Revolut não confirmou publicamente esse número em sua declaração inicial, ele deve ser entendido como informação reportada — e não como contagem anunciada diretamente pela empresa. 33

Também circularam alegações de que os atacantes tiveram acesso a sistemas de forças de segurança italianas por aproximadamente seis meses. Essa é uma afirmação não verificada do suposto agente da ameaça, e não uma conclusão confirmada pela Revolut ou por autoridades. 3637

Quais dados podem ter sido expostos

Notificações enviadas a clientes e analisadas pelo TechCrunch indicam que o material divulgado incluía dados de identidade e contato, como data de nascimento, endereço residencial, e-mail, telefone e cópias de passaportes ou carteiras de motorista. As notificações diziam que o conjunto também poderia incluir selfies de verificação, extratos de conta e históricos de transações. 35

Outras reportagens mencionaram IBANs — identificadores de contas bancárias usados na Europa —, registros de saques e atividade de transações em Bitcoin entre os dados supostamente obtidos. 510

É uma combinação especialmente sensível. Documentos de identidade podem ser usados em fraudes de personificação e recuperação de contas; já dados de contato e informações financeiras tornam tentativas de phishing muito mais convincentes.

Por que dados de transações em Bitcoin ampliam o risco

Nome, endereço, documento de identidade e selfie de verificação podem associar uma pessoa real a atividades financeiras. Se o histórico de transações em Bitcoin também estiver incluído, o vazamento pode facilitar a conexão entre dados de identidade verificados fora da internet e movimentações visíveis em uma blockchain pública. 1035

Isso não significa que toda carteira ou transação futura passe automaticamente a ser atribuída a alguém. Mas a combinação pode elevar o risco de phishing direcionado, fraude de identidade, tentativas de coerção e golpes contra pessoas vistas como detentoras de criptoativos. Ao contrário de uma senha, documentos de identidade e registros históricos em blockchain não podem simplesmente ser trocados após um vazamento.

Vazamentos publicados, pessoas citadas e o suposto resgate

Atacantes teriam começado a publicar material de clientes e ameaçado divulgar mais dados. Reportagens identificaram arquivos atribuídos ao tenista Alexander Shevchenko e a Felix Römer, executivo-chefe da Gamdom; a Cointelegraph informou que Römer comentou o caso depois que seus dados apareceram no vazamento. 2

Também circulou uma suposta exigência de 10.000 BTC, estimada em cerca de US$ 780 milhões na época. A Revolut não confirmou a cobrança, assim como as autoridades policiais citadas no material. Ela deve, portanto, ser tratada como uma alegação não verificada de extorsão, e não como uma negociação de resgate confirmada. 1213

O que clientes afetados podem fazer

Quem recebeu uma notificação deve guardá-la e seguir as orientações oficiais da Revolut. Também é recomendável redobrar a cautela com mensagens que mencionem dados pessoais, aleguem vir da Revolut ou de um regulador, ou criem urgência sobre a segurança da conta.

Medidas práticas incluem:

• Trocar as senhas da Revolut e do e-mail caso sejam reutilizadas em outros serviços, além de ativar a autenticação multifator mais forte disponível.
• Desconfiar de ligações, SMS e e-mails não solicitados, mesmo que contenham dados pessoais verdadeiros.
• Nunca informar códigos de uso único, códigos de recuperação ou frases-semente a quem liga ou envia mensagens.
• Monitorar contas bancárias, cartões e corretoras de criptoativos em busca de movimentações inesperadas e registrar contatos suspeitos.
• Caso documentos de identidade tenham sido expostos, considerar o risco contínuo de fraude de identidade — e não presumir que o problema se encerra ao substituir um cartão.

No Reino Unido, o órgão regulador de proteção de dados, o Information Commissioner’s Office (ICO), orienta pessoas que acreditam que uma organização não protegeu adequadamente suas informações a procurar primeiro a própria organização e disponibiliza canais públicos de suporte para dúvidas sobre proteção de dados. 23

A lição para empresas financeiras

O episódio mostra por que pedidos sensíveis de autoridades públicas ou policiais exigem controles que vão além da checagem do domínio do remetente. Salvaguardas eficazes podem incluir confirmação independente por telefone usando contatos de diretórios confiáveis, aprovação por duas pessoas para divulgações especialmente sensíveis, minimização dos dados fornecidos, registro auditável das solicitações e procedimentos claros para reconhecer engenharia social baseada em autoridade.

Para clientes, a conclusão é igualmente direta: um endereço de e-mail com aparência oficial é um sinal a ser investigado, não uma prova automática de legitimidade. Em um vazamento que envolve documentos de identidade e histórico financeiro, fraudes posteriores podem causar danos ainda maiores que a divulgação inicial.

O que ainda não se sabe

As evidências sustentam que a Revolut divulgou dados de clientes após pedidos fraudulentos enviados de um domínio governamental legítimo e que seus sistemas centrais e os fundos dos clientes não foram afetados, segundo a companhia. 1

Continuam sem solução, no material fornecido, detalhes como o papel exato da infraestrutura PEC, a suposta operação de seis meses, o número final de pessoas afetadas, o alegado acesso dos atacantes a sistemas italianos e qualquer medida de fiscalização por reguladores do Reino Unido. Essas informações não devem ser apresentadas como fatos consolidados sem confirmação oficial. 133637