A Revolut confirmou que divulgou dados pessoais e financeiros de um número limitado de clientes a uma entidade não autorizada, após receber pedidos fraudulentos feitos por atacantes que se passaram por uma agência governamental. Segundo a fintech, os sistemas e os fundos dos clientes não foram afetados, e as pessoas atingidas já foram contactadas diretamente.
O golpe explorou um vetor pouco comum: um endereço de email com o domínio de uma agência governamental legítima foi usado para enviar pedidos de informação que pareciam oficiais. Em resposta a essas solicitações, a empresa acabou por fornecer dados de alguns dos seus clientes, segundo informação originalmente reportada pelo TechCrunch e confirmada por um porta-voz da companhia.
O que aconteceu no incidente da revolut
O caso da Revolut é um exemplo de engenharia social aplicada a processos de compliance: em vez de atacar servidores, os criminosos exploraram a confiança institucional em pedidos que pareciam vir de um governo. A fintech descreveu o episódio como um esquema sofisticado de usurpação de identidade por terceiros.
De acordo com a notificação enviada por email aos clientes afetados, os dados expostos incluem data de nascimento, moradas, endereços de email e número de telefone. Segundo o TechCrunch, também podem ter sido partilhadas cópias de documentos de identificação, como passaportes e cartas de condução, além de selfies utilizadas para verificação de idade, extratos de conta e históricos de transações.
Um porta-voz da Revolut confirmou ao TechCrunch que um número limitado de clientes foi afetado e que essas pessoas foram contactadas diretamente. A empresa não detalhou quantos clientes foram atingidos nem se o incidente ficou restrito a um único mercado ou abrangeu clientes de vários países. O TEK Notícias questionou a companhia sobre o possível impacto do incidente em Portugal, sem obter números específicos.
# publicidade
Info: A Revolut não divulgou o número de clientes afetados nem os mercados envolvidos. A empresa afirma apenas que o grupo atingido é limitado e que todos foram notificados individualmente.
Como a fintech respondeu ao esquema
Em comunicado, um porta-voz da Revolut afirmou que a empresa identificou recentemente um esquema sofisticado de usurpação de identidade por terceiros, no qual uma entidade não autorizada utilizou um endereço de email com o domínio de uma agência governamental legítima para enviar pedidos de informação fraudulentos. A resposta foi imediata após a deteção.
Segundo a empresa, o endereço usado no esquema foi bloqueado assim que a situação foi identificada. A agência governamental cujo domínio foi usado foi alertada, assim como as autoridades policiais, as entidades de proteção de dados e os reguladores financeiros. A fintech reforçou que os seus sistemas e os fundos dos clientes não foram afetados, e que as pessoas atingidas estão a receber apoio.
Mas o que torna esse tipo de ataque tão eficaz? A resposta está na natureza dos pedidos governamentais: empresas reguladas, como fintechs, têm obrigação legal de responder a solicitações de autoridades em investigações. Quando o canal de comunicação parece legítimo, o processo interno de verificação pode falhar, especialmente se o domínio de email for real e não um clone com erros óbvios.
Atenção: Se você é cliente Revolut, desconfie de emails ou mensagens que peçam dados adicionais citando o incidente. A empresa afirma que contacta os afetados diretamente, mas golpes oportunistas costumam surfar notícias de vazamento.
Por que o caso importa para o mercado e para o brasil
O incidente expõe um ponto cego de segurança que não depende de código vulnerável: a cadeia de confiança em processos jurídicos e regulatórios. Nenhum firewall impede que um funcionário responda a um pedido que parece oficial. Na avaliação do Mercado de TI, o caso reforça a tese de que a autorização, e não apenas a identidade, é o ponto crítico da segurança em operações sensíveis.
Para o leitor brasileiro, o paralelo é direto. Fintechs como Nubank, PicPay e o próprio modelo do Open Finance Brasil envolvem troca intensa de dados com reguladores como Banco Central e Receita Federal. Um esquema semelhante, usando domínios governamentais comprometidos, poderia explorar o mesmo vetor por aqui. O tema dialoga com a discussão sobre credenciais verificáveis e identidade digital no Brasil, que ganhou espaço no debate regulatório.
Empresas que operam sob a LGPD também devem observar o precedente: a Revolut notificou as autoridades de proteção de dados, o que indica conformidade com o GDPR na Europa. No Brasil, um incidente equivalente exigiria comunicação à ANPD e aos titulares afetados. A maturidade na resposta a incidentes é um dos fatores que separam empresas que resistem a ataques das que sucumbem.
Dica: Para times de segurança, uma medida prática é exigir verificação em canal duplo para qualquer pedido de dados vindo de órgãos externos: confirmar por telefone ou portal oficial antes de enviar qualquer informação de cliente, mesmo quando o domínio do remetente parecer legítimo.
Principais pontos
- Ataque por impersonação: criminosos usaram um endereço de email com domínio de uma agência governamental legítima para enviar pedidos fraudulentos de informação à Revolut.
- Dados expostos: data de nascimento, moradas, emails, telefones e, segundo o TechCrunch, possivelmente passaportes, cartas de condução, selfies de verificação, extratos e históricos de transações.
- Escopo incerto: a fintech fala em número limitado de clientes, mas não revela quantias nem mercados afetados.
- Resposta: endereço bloqueado, agência governamental alertada e notificação a polícia, autoridades de proteção de dados e reguladores financeiros.
- Fundos preservados: segundo a empresa, sistemas e fundos dos clientes não foram afetados.
O caso da Revolut tende a pressionar fintechs e bancos digitais a revisitar os fluxos de resposta a autoridades, com verificação criptográfica e confirmação fora de banda. O próximo capítulo será saber se os reguladores europeus exigirão mudanças formais nesses processos, e qual agência governamental teve o domínio explorado, algo que a empresa ainda não revelou.
Fonte: Sapo Tek
