A empresa britânica de serviços financeiros Revolut confirmou a ocorrência de um incidente no qual dados sensíveis de um número limitado de clientes foram expostos a uma parte não autorizada, após o recebimento de solicitações fraudulentas de informações enviadas de um domínio de e-mail pertencente a uma entidade governamental legítima. A empresa afirmou que notificou diretamente os clientes afetados e também informou a entidade governamental envolvida, as autoridades policiais e os órgãos reguladores financeiros relevantes.
Segundo um aviso enviado pela Revolut aos clientes e analisado pelo site TechCrunch, os dados expostos incluíam informações de identidade e contato, como datas de nascimento, endereços postais, endereços de e-mail e números de telefone. Os dados também incluíam cópias de documentos de identidade, entre eles passaportes e carteiras de motorista. A empresa explicou que as informações talvez também incluíssem fotos pessoais de verificação, extratos de conta e registros de transações.
Detalhes ainda não divulgados
A Revolut não especificou o número exato de clientes afetados, limitando-se a descrevê-lo como «limitado». A empresa também não esclareceu se o incidente ficou restrito a um determinado mercado e se recusou a revelar o nome da entidade governamental cujo domínio eletrônico foi usado na falsificação.
A empresa afirmou que uma parte não autorizada usou o domínio de uma entidade governamental legítima para enviar solicitações falsas de informações. Depois de descobrir o esquema, a Revolut bloqueou o endereço de e-mail usado e informou as partes oficiais relevantes. A empresa acrescentou que seus sistemas e os fundos dos clientes não foram afetados pelo incidente, uma confirmação que distingue o vazamento de dados de clientes de uma invasão direta dos sistemas ou das contas financeiras.
Por que esta notícia é importante?
A importância do caso está no fato de que o invasor, de acordo com as informações disponíveis, não dependeu da invasão de um domínio governamental ou do sistema da Revolut, mas explorou a confiança associada a um endereço de e-mail legítimo para obter uma divulgação não autorizada. Isso torna o incidente um exemplo dos riscos de verificar solicitações de dados quando a entidade remetente parece oficial, especialmente em instituições financeiras que lidam com documentos de identidade e registros de transações altamente sensíveis.
O pesquisador de segurança especializado em criptomoedas ZachXBT observou que o incidente parecia ter como alvo usuários de alto patrimônio, mas essa informação não foi confirmada pela Revolut no aviso ou nas declarações reproduzidas. A empresa afirma ter mais de 80 milhões de clientes em todo o mundo e operar como banco em mais de 30 países, o que deixa em aberto a questão do alcance geográfico exato do impacto.
Contexto e limitações
O incidente ocorre enquanto a Revolut amplia sua presença bancária na Europa e em outros mercados, incluindo Índia, México, França e Emirados Árabes Unidos. A empresa também recebeu da Administração do Controlador da Moeda dos Estados Unidos uma aprovação condicional para criar um banco nacional, com lançamento previsto para o primeiro semestre de 2027. Isso também coincidiu com relatos de que a empresa estaria avaliando uma possível abertura de capital que poderia elevar seu valor para 200 bilhões de dólares, em comparação com uma avaliação privada de 75 bilhões de dólares em novembro.
As informações publicadas não incluem o número de registros afetados, o período durante o qual as solicitações fraudulentas permaneceram ativas nem as medidas adicionais que serão impostas pelos órgãos reguladores. Portanto, o quadro atual permanece limitado à confirmação do vazamento e ao tipo de dados que possivelmente foi exposto, sem base suficiente para estimar o tamanho final ou determinar se o incidente está relacionado a um mercado ou grupo específico de clientes.