Vazamento de dados da Revolut é rastreado a contas do governo italiano comprometidas usadas para se passar por policiais
Um vazamento de dados de cerca de 680 clientes da Revolut foi rastreado a uma conta de e-mail certificado (PEC) do governo italiano comprometida, usada por criminosos para se passar por policiais da Polícia Postal e solicitar dados sensíveis diretamente à fintech. A Revolut nega invasão de seus próprios sistemas, afirmando ter atendido solicitações que pareciam legítimas por partirem de um domínio governamental oficial.
Segundo a reportagem, o incidente não começou com uma invasão à Revolut, mas com o comprometimento de uma conta PEC (o sistema de e-mail certificado usado por órgãos públicos italianos) vinculada à prefeitura de Reggio Calabria. De posse dessa conta, os atacantes se passaram por agentes da Polícia Postal italiana e enviaram, no estilo "spray and pray", dezenas de pedidos formais contendo IDs de transações e endereços de carteiras associados a contas de alto valor, solicitando a entrega de dados de clientes sob a justificativa de investigação policial.
O ponto central desse golpe é que ele explora a confiança institucional, não uma falha técnica da Revolut: empresas reguladas são obrigadas a responder rapidamente a pedidos formais de autoridades, e um domínio de e-mail governamental legítimo funciona como um selo de autenticidade que raramente é questionado no fluxo normal de atendimento a solicitações legais. Como consequência, aproximadamente 680 clientes tiveram documentos de identidade, endereços, selfies de verificação, extratos bancários e históricos de transações — inclusive envolvendo criptoativos — expostos a um agente malicioso que se apresentava como polícia.
O grupo por trás do ataque afirma ter mantido acesso por seis meses a sistemas de múltiplos departamentos de polícia italianos, com uma exfiltração alegada de cerca de 147 GB de dados; essa parte mais ampla do incidente ainda não foi verificada de forma independente, mas já reforça que o comprometimento de uma única credencial institucional pode se propagar como uma cadeia de fraudes contra terceiros que nunca foram diretamente invadidos.
O dado mais sensível para as vítimas não é o vazamento em si, mas o que pode ser feito com ele: documentos de identidade, selfies e extratos bancários são exatamente o material necessário para roubo de identidade, abertura fraudulenta de contas e novos golpes de engenharia social contra os mesmos clientes, inclusive na forma de falsos contatos de "suporte Revolut" ou "polícia" citando dados reais para dar credibilidade. Para instituições financeiras, a lição prática é não tratar o domínio de origem como prova suficiente de legitimidade em pedidos de dados de autoridades — é necessário um canal de verificação fora de banda (callback a um número oficial já conhecido, checagem em registro central) antes de atender solicitações em massa, especialmente quando envolvem contas de alto valor.