Revolut entregou dados pessoais e registros de Bitcoin após e‑mail falso de órgão público
Mensagem passou checagens de autenticação (SPF/DKIM/DMARC); empresa notificou clientes a partir de 11 de setembro, sem identificar qual agência foi usada nem quantos foram afetados.
A fintech Revolut diz ter atendido pedidos de informação fraudulentos que pareciam vir de um domínio de e‑mail governamental e começou a notificar clientes afetados após circularem avisos em 11 de setembro.
Segundo a própria empresa, os materiais divulgados incluem nomes, datas de nascimento, contatos, cópias de passaportes ou carteiras de motorista, selfies de verificação, extratos de conta e entradas de referência de transações ou carteiras de Bitcoin.
Relatórios técnicos mostram que as mensagens enganosas passaram as checagens padrão de autenticação de e‑mail (SPF, DKIM e DMARC). Isso sugere que o atacante usou ou comprometeu uma conta dentro da infraestrutura de correio da agência, em vez de apenas falsificar o remetente.
A Revolut afirma que um número limitado de clientes foi afetado, que seus sistemas e os fundos de clientes não foram acessados, e que chaves privadas, senhas e dados completos de cartão não foram divulgados. A empresa, porém, não revelou qual agência teve a conta comprometida nem o número exato de usuários impactados.
Analistas de segurança alertam que o dano real pode vir de ligar identidades verificadas a atividades em criptomoedas, o que facilita golpes direcionados e rastreamento persistente on‑chain. O caso também levanta questões sobre minimização de dados, checagens externas para pedidos legais e prazos de notificação a reguladores.