Revolut vaza dados de KYC de clientes após e-mail fraudulento se passar por agência governamental
A Revolut confirmou ter entregado documentos de KYC, selfies de verificação e históricos de transações em Bitcoin de clientes após receber uma solicitação fraudulenta enviada de uma conta de e-mail comprometida dentro do domínio real de uma agência governamental. A fintech não foi hackeada diretamente: o processo de verificação baseado em autenticação de domínio foi enganado por credenciais legítimas de um e-mail institucional invadido. O caso expõe como a confiança em domínios oficiais, sem confirmação fora de banda, pode ser explorada para extrair dados sensíveis em massa.
No dia 12 de setembro de 2026, a Revolut notificou clientes de que dados de KYC (Know Your Customer) foram entregues a um terceiro não autorizado. A empresa recebeu uma solicitação de informações que aparentava vir de uma agência governamental legítima, contendo credenciais de autenticação de domínio válidas — o que levou a equipe de compliance a tratá-la como um pedido oficial e legal, sem confirmação adicional por outro canal.
O ponto central do incidente é que não houve invasão de sistemas da Revolut. O atacante comprometeu uma conta de e-mail dentro da infraestrutura real da agência governamental e, a partir dela, enviou a solicitação de dados. Como o domínio de origem era autêntico e passou nas verificações técnicas de autenticação de e-mail (como SPF/DKIM/DMARC), a fintech não teve motivo técnico para suspeitar da origem, apenas confiou no canal. Os dados entregues incluíram nome completo, data de nascimento, ocupação, endereço, cópias de passaporte e carteira de motorista, selfies de verificação facial, extratos com IBAN e histórico completo de transações em Bitcoin — um pacote praticamente completo para roubo de identidade e fraude financeira subsequente contra os titulares das contas.
Esse tipo de ataque é uma variante sofisticada de engenharia social institucional: em vez de forjar um domínio parecido (typosquatting) ou usar um e-mail falso, o criminoso sequestra a própria fonte de confiança — a conta de e-mail de dentro do órgão legítimo — tornando inúteis os controles técnicos tradicionais de autenticação de remetente. A verificação da Revolut falhou porque validou apenas a origem técnica da mensagem, não a legitimidade da solicitação em si.
A lição prática para empresas que lidam com dados de KYC é que autenticação de domínio não substitui verificação processual: solicitações de dados sensíveis de agências governamentais deveriam exigir confirmação por canal independente (telefone institucional já conhecido, portal oficial de solicitações formais, ou assinatura digital certificada), e não apenas a origem do e-mail. Para os titulares de conta, o risco decorrente é concreto: dados de identidade e histórico financeiro vazados alimentam fraudes de abertura de conta em nome de terceiros, engenharia social direcionada (vishing/phishing usando dados reais do cliente) e tentativas de account takeover. A Revolut recomenda que clientes afetados fiquem atentos a contatos não solicitados que citem esses dados como prova de legitimidade — um padrão clássico de golpe pós-vazamento.