Revolut confirma vazamento de dados após golpistas usarem e-mail de governo
Revolut confirma vazamento de dados após golpistas usarem e-mail de governo
A Revolut confirmou neste sábado (12) que dados sensíveis de um grupo limitado de clientes foram entregues a uma pessoa não autorizada após a fintech ser enganada por uma solicitação falsa que aparentava ter sido enviada por uma agência governamental.
O caso chama atenção porque os criminosos utilizaram um endereço pertencente ao domínio oficial de uma agência pública. Segundo a Revolut, a comunicação apresentava credenciais de autenticação válidas, fazendo com que a solicitação aparentasse ser legítima.
A empresa afirmou que identificou o episódio como um sofisticado golpe de falsificação de identidade e que, após descobrir a fraude, bloqueou o endereço utilizado, comunicou as autoridades e os reguladores competentes e entrou em contato diretamente com os clientes afetados.
Como se preparar o ano todo para as transferências bonificadas Esfera para Avios
BTG Pactual lança cartão com bandeira própria e entra no mercado de maquininhas com o BTG Pay
Quais dados dos clientes foram expostos?
O vazamento envolveu informações consideradas altamente sensíveis.
Entre os dados que podem ter sido compartilhados estão:
Iberia inaugura nova sala VIP em Madri com gastronomia premium, suítes de descanso e bar 360º
- Nome completo;
- Data de nascimento;
- Endereço residencial;
- Endereço de e-mail;
- Número de telefone;
- Informações profissionais;
- Cópias de documentos de identidade;
- Passaportes;
- Carteiras de motorista;
- Fotografias utilizadas na verificação facial;
- Dados bancários, incluindo IBAN;
- Informações sobre a conta;
- Extratos;
- Registros de saques;
- Histórico de transações;
- Informações relacionadas a operações com Bitcoin.
A extensão exata dos dados varia de acordo com o cliente afetado. A própria comunicação enviada pela empresa aos usuários indica que documentos de identificação, selfies de verificação, extratos e históricos de transações podem ter sido incluídos entre as informações acessadas.
Revolut diz que dinheiro dos clientes não foi afetado
Apesar da gravidade do episódio, a Revolut afirma que seus sistemas não foram comprometidos e que não houve impacto sobre os fundos dos clientes.
A empresa classificou o incidente como um ataque externo de engenharia social. Em outras palavras, os criminosos não precisaram invadir diretamente a infraestrutura da fintech para conseguir os dados.
Eles exploraram um ponto mais delicado: convencer funcionários ou sistemas de atendimento de que uma solicitação fraudulenta era uma determinação legítima de uma autoridade pública.
A empresa afirmou que, assim que identificou o problema, bloqueou o remetente e iniciou as medidas de resposta ao incidente.
Número de clientes afetados ainda não foi revelado
Um dos principais pontos ainda sem resposta é o tamanho exato do incidente.
A Revolut informou que um número limitado de clientes foi afetado, mas não divulgou quantas pessoas tiveram seus dados expostos. A fintech também não revelou qual agência governamental teve o domínio utilizado pelos criminosos.
A justificativa para não revelar a identidade da agência está relacionada à investigação em andamento.
A falta dessas informações mantém aberta uma série de perguntas sobre como os criminosos conseguiram utilizar uma conta não autorizada dentro de um domínio governamental e por que a solicitação foi considerada legítima.
O caso preocupa especialmente investidores de criptomoedas
O episódio ganhou repercussão na comunidade de criptomoedas porque entre os dados potencialmente expostos estão históricos de transações, inclusive operações envolvendo Bitcoin.
Esse tipo de informação pode ser particularmente sensível.
Um criminoso que tenha acesso simultaneamente à identidade de uma pessoa, seu endereço, documentos, telefone e histórico de movimentações financeiras pode obter uma visão muito mais detalhada sobre o patrimônio e o comportamento financeiro daquela vítima.
Por isso, pesquisadores de segurança vêm alertando para o risco de ataques direcionados contra investidores que possuem grandes quantidades de criptomoedas.
Mark Karpelès cobra mais informações da Revolut
O caso também chamou a atenção de Mark Karpelès, conhecido por ter sido fundador da antiga corretora de Bitcoin Mt. Gox.
Karpelès questionou publicamente a falta de detalhes sobre a agência governamental envolvida e levantou a possibilidade de que outras instituições financeiras ou plataformas de criptomoedas possam ter recebido solicitações semelhantes.
A preocupação é que o mesmo método possa ter sido utilizado contra outras empresas.
Se isso tiver acontecido, o problema deixaria de ser exclusivamente da Revolut e poderia representar uma campanha mais ampla de engenharia social contra instituições financeiras.
Um alerta para todo o setor financeiro
O caso revela uma dificuldade cada vez mais importante para bancos e fintechs.
Sistemas de autenticação de e-mail podem ajudar a verificar se uma mensagem realmente foi enviada a partir de um determinado domínio. Porém, isso não significa necessariamente que a pessoa responsável por aquela conta tenha autorização para solicitar dados confidenciais.
Foi justamente essa diferença que aparentemente foi explorada no caso da Revolut.
O e-mail parecia legítimo, mas a conta utilizada para fazer a solicitação não estava autorizada a representar a agência governamental.
O que clientes da Revolut devem fazer?
Clientes que receberam uma comunicação oficial da Revolut sobre o incidente devem ficar atentos a tentativas posteriores de golpe.
Com dados pessoais, documentos e informações financeiras potencialmente expostos, criminosos podem tentar utilizar essas informações para criar abordagens muito mais convincentes.
É recomendável desconfiar de mensagens que peçam códigos de autenticação, senhas, transferências, instalação de aplicativos ou acesso remoto ao celular.
Também é importante lembrar que o vazamento informado pela Revolut não significa, até o momento, que os criminosos tenham acesso às contas ou aos recursos financeiros dos clientes.
A empresa afirma que os sistemas e os fundos dos usuários não foram afetados.
Revolut enfrenta teste de segurança e confiança
O episódio acontece em um momento de forte expansão internacional da Revolut.
A fintech já ultrapassou 80 milhões de clientes globalmente e vem ampliando sua atuação em diferentes mercados, enquanto avança na construção de uma operação bancária cada vez maior.
Por isso, além da exposição de dados, o incidente representa um teste importante para os mecanismos de segurança e governança da empresa.
O principal ponto agora será entender como a Revolut irá reforçar os procedimentos utilizados para validar solicitações de autoridades e impedir que uma conta comprometida dentro de um domínio legítimo volte a ser utilizada para obter informações de clientes.
O caso também serve de alerta para todo o setor financeiro: em um ambiente no qual bancos digitais concentram documentos, dados bancários, investimentos e informações sobre criptomoedas, não basta confirmar de onde veio uma mensagem — também é preciso confirmar quem realmente está autorizado a fazer a solicitação.
Tags: Revolut, Revolut vazamento de dados, Revolut Brasil, vazamento de dados, dados de clientes, segurança digital, fintech, criptomoedas, Bitcoin, Bitcoin Revolut, fraude, golpe, engenharia social, segurança bancária, dados pessoais, vazamento de documentos, ataque cibernético, fraude digital, bancos digitais, fintechs, Mark Karpelès, Mt Gox, MRNews
Autor
Publicar comentário