Revolut expõe atividade de Bitcoin e passaportes após cair em solicitação governamental falsa

O banco digital entregou dados sensíveis de clientes incluindo passaportes, selfies, endereços residenciais e detalhes de transações de Bitcoin após tratar uma solicitação governamental fraudulenta como legítima, embora nenhum fundo tenha sido roubado.

O Revolut, banco digital sediado em Londres com mais de 40 milhões de usuários globalmente, confirmou uma importante violação de dados após ser vítima de um sofisticado ataque de engenharia social. A empresa processou erroneamente o que parecia ser uma solicitação governamental legítima de dados, entregando informações altamente sensíveis de clientes a fraudadores que se passavam por oficiais da aplicação da lei.

Os dados expostos incluem cópias de passaportes, fotos de verificação selfie, endereços residenciais e, criticamente para usuários de cripto, registros detalhados de atividade de Bitcoin na plataforma. A violação afeta um número não divulgado de clientes, embora o Revolut tenha enfatizado que nenhum fundo de cliente foi comprometido ou roubado durante o incidente. A empresa detectou a solicitação fraudulenta após os dados já terem sido transmitidos.

Esta violação destaca uma vulnerabilidade crescente no ecossistema cripto e fintech: a exploração de processos legais de solicitação de dados. As instituições financeiras são legalmente obrigadas a responder a solicitações governamentais e da aplicação da lei, criando um vetor potencial de ataque quando criminosos se passam com sucesso por autoridades. A inclusão de dados de transações de Bitcoin é particularmente preocupante, pois pode permitir campanhas direcionadas de phishing ou ameaças de segurança física contra clientes conhecidos por possuir criptomoedas.

O Revolut não divulgou o mecanismo específico usado pelos atacantes para autenticar sua solicitação falsa, nem a jurisdição que alegavam representar. Especialistas da indústria sugerem que os atacantes provavelmente falsificaram papel timbrado oficial, usaram endereços de e-mail governamentais comprometidos ou exploraram lacunas nos procedimentos de verificação que bancos usam para autenticar solicitações da aplicação da lei. A sofisticação necessária sugere uma operação criminal organizada em vez de hackers oportunistas.

Para clientes afetados, a exposição de dados de passaporte combinada com atividade de criptomoeda cria múltiplos riscos. O roubo de identidade torna-se mais fácil com documentos de identidade verificados, enquanto o conhecimento de posses de Bitcoin torna indivíduos alvos de ataques de troca de SIM, tentativas de phishing ou até ameaças físicas. Pesquisadores de segurança recomendam que usuários afetados habilitem camadas adicionais de autenticação, monitorem relatórios de crédito e considerem mudar endereços associados a posses de cripto de alto valor.

O incidente vem em um momento sensível para o Revolut, que tem buscado licenças bancárias em múltiplas jurisdições e enfrenta maior escrutínio regulatório sobre seu rápido crescimento e práticas de conformidade. A empresa processa bilhões em transações cripto anualmente e se posiciona como uma ponte entre a banca tradicional e ativos digitais. Esta violação pode levar reguladores a examinar como empresas fintech verificam e respondem a solicitações governamentais de dados.

O Revolut declarou que relatou o incidente às autoridades relevantes de proteção de dados e agências de aplicação da lei, e está implementando etapas adicionais de verificação para futuras solicitações governamentais. A empresa está notificando diretamente clientes afetados e oferecendo serviços de monitoramento de crédito. Observadores da indústria notam que ataques similares de engenharia social visando o processo de solicitação de dados afetaram outras instituições financeiras, sugerindo que isto pode representar um vetor de ameaça emergente em todo o setor em vez de um incidente isolado em uma empresa.