Revolut divulga vazamento que expôs dados de 680 clientes
Golpe utilizou conta de e‑mail legítima de órgão governamental para contornar checagens e obter documentos de identidade e históricos financeiros detalhados
A Revolut informou nesta segunda‑feira que um golpe de impersonação sofisticado usou um endereço de e‑mail com domínio de um órgão governamental e autenticação válida para solicitar e receber registros de clientes.
Cerca de 680 clientes foram identificados como afetados depois que a fraude expôs passaportes ou carteiras de motorista, fotos de verificação (selfies), nomes, endereços, telefones e e‑mails.
Os atacantes também obtiveram informações financeiras sensíveis, incluindo IBANs, extratos, registros de saques e históricos de transações on‑chain de criptomoedas. Parte desses dados já foi publicada no Telegram, e os criminosos tentam extorquir pagamento.
A Revolut afirma que seus sistemas centrais, bases de dados internas e os fundos dos clientes não foram comprometidos. A empresa bloqueou o endereço malicioso, notificou a agência governamental implicada, reguladores e a polícia, e avisou os usuários afetados.
Reguladores do Reino Unido, incluindo a Financial Conduct Authority (FCA) e o Information Commissioner’s Office (ICO), abriram investigações. O caso expõe uma falha de verificação: mecanismos de autenticação de e‑mail como DKIM podem falhar quando invasores controlam ou criam caixas postais dentro de domínios confiáveis, ampliando riscos para processos de KYC e para vinculação de dados de criptoativos.