Revolut sofre vazamento de dados financeiros e passaportes após golpe de falsa autoridade governamental
A fintech britânica Revolut confirmou ter compartilhado dados de um grupo "muito limitado" de clientes com um criminoso que se apresentou como agência governamental legítima, usando um domínio de e-mail autêntico para dar credibilidade ao pedido. Entre os dados vazados estão cópias de passaporte, selfies de verificação, extratos bancários, números IBAN e histórico completo de transações, incluindo movimentações em Bitcoin. Um investigador especializado em fraude com criptoativos aponta que o ataque parece ter sido direcionado a clientes de alto patrimônio, o que amplia o risco de fraudes personalizadas e extorsão contra essas vítimas.
A Revolut, fintech que atende mais de 80 milhões de clientes em mais de 160 países, revelou que um número não divulgado de usuários teve dados pessoais e financeiros expostos depois que a própria empresa entregou essas informações a um criminoso. O agressor não invadiu sistemas internos: ele se apresentou como uma agência governamental legítima e submeteu uma solicitação de dados que, segundo a Revolut, chegou "com credenciais válidas de autenticação de domínio", levando a equipe a cumprir o pedido por "crença razoável" de que era legítimo.
O golpe explora um processo que existe em praticamente toda instituição financeira: o atendimento a solicitações formais de dados feitas por autoridades, sob amparo legal, para investigações. Criminosos vêm abusando desse canal em todo o mundo — seja comprometendo contas de e-mail de policiais e promotores, seja registrando domínios muito similares aos de órgãos oficiais — para enviar pedidos de dados que parecem legítimos e obter, sem qualquer ordem judicial real, dossiês completos de vítimas. No caso da Revolut, os dados obtidos vão muito além de um cadastro básico: nome completo, data de nascimento, ocupação, endereço, telefone, cópias de passaporte e carteira de motorista, selfies usadas na verificação de identidade (KYC), extratos bancários, IBAN e o histórico integral de transações, incluindo operações em Bitcoin.
O combo de documento de identidade, comprovante financeiro e histórico de transações é exatamente o material que alimenta fraudes de tomada de conta (account takeover), portabilidade fraudulenta de número (SIM swap) e golpes de engenharia social altamente personalizados, em que o criminoso finge ser o banco, a operadora ou até a polícia e cita dados reais da vítima para ganhar confiança. Como o investigador ZachXBT sugeriu haver foco em clientes de alto patrimônio com histórico cripto, o risco imediato é de extorsão e ataques direcionados, além de tentativas de vishing citando dados verídicos para convencer a vítima a autorizar transferências.
Para instituições financeiras, a lição central é que a autenticidade de domínio de e-mail (SPF/DKIM válidos) não comprova a legitimidade de um pedido de dados — é preciso um segundo canal de verificação, como confirmação telefônica direta com a delegacia ou órgão emissor por um número já conhecido, ou exigência de ordem judicial assinada digitalmente e verificável. Clientes notificados de exposição devem monitorar extratos e alertas de transação, desconfiar de qualquer contato que cite corretamente seus dados pessoais como prova de legitimidade, e considerar congelamento de crédito ou troca de documentos quando cópias de passaporte tiverem sido vazadas.