Revolut revela violação de dados após fraudadores se passarem por agência governamental para extrair dados KYC de clientes

A Revolut revelou em 12 de setembro que fraudadores que se passaram por uma agência governamental enganaram a fintech para que divulgasse dados sensíveis de clientes, incluindo cópias de passaportes, carteiras de motorista, selfies de verificação facial e históricos completos de transações. Diferente da maioria das violações fintech deste ano, nenhum servidor foi hackeado e nenhuma senha foi roubada — o atacante simplesmente pediu, usando uma conta de e-mail governamental roubada mas de aparência genuína.

O incidente ilustra uma categoria crescente de fraude que as equipes de segurança chamam de "abuso de canal confiável": em vez de invadir um sistema, um atacante compromete ou falsifica um canal em que a empresa já confia — neste caso, solicitações oficiais de dados de autoridades policiais — e deixa o próprio processo de conformidade do alvo fazer o trabalho de exfiltração.

Como a fraude funcionou

De acordo com a Revolut e reportagens do TechCrunch, um terceiro não autorizado obteve acesso a, ou falsificou de forma convincente, uma conta de e-mail pertencente a uma agência governamental legítima. A solicitação fraudulenta resultou na divulgação de nomes completos, datas de nascimento, endereços postais e de e-mail, números de telefone e ocupações de um grupo de clientes. Mais grave ainda, o atacante também obteve cópias de documentos de identidade emitidos pelo governo — passaportes e carteiras de motorista — junto com as selfies de verificação facial. Registros financeiros incluindo extratos de conta, IBANs, históricos de transações e detalhes de saques também foram expostos, com dados que segundo relatos incluíam histórico de transações de criptomoedas.

Quem foi visado

A Revolut confirmou apenas que um "número limitado" de clientes foi afetado. O investigador de criptomoedas ZachXBT avaliou que o padrão dos dados expostos — documentos KYC combinados com históricos detalhados de transações em Bitcoin — aponta para uma operação direcionada visando construir perfis de indivíduos de alto patrimônio líquido.

A resposta da Revolut

A Revolut diz que identificou o esquema fraudulento e bloqueou o endereço de e-mail comprometido, depois notificou diretamente os clientes afetados. A empresa também alertou a agência governamental cuja identidade foi indevidamente usada, além de autoridades policiais e reguladores financeiros. A Revolut sustenta que seus sistemas centrais, infraestrutura e fundos de clientes não foram comprometidos.

Por que isso importa além da Revolut

Toda instituição financeira regulamentada opera um pipeline semelhante. As instituições financeiras deveriam tratar a verificação fora de banda do funcionário solicitante — uma ligação para um número conhecido, não uma resposta ao próprio e-mail — como obrigatória, não opcional.