Revolut cedeu o seu passaporte a burlões sem qualquer intrusão nos sistemas

A Revolut não foi invadida. Ninguém trespassou as suas firewalls nem encontrou uma vulnerabilidade no seu código. Em vez disso, um atacante fez-se passar por uma autoridade governamental usando um endereço de email com um domínio oficial legítimo, submeteu um pedido de divulgação de dados que os mecanismos de verificação da Revolut aceitaram como genuíno, e ficou com documentos de identificação completos, cópias de passaportes, selfies de onboarding e o histórico completo das contas dos utilizadores afetados — incluindo todas as transações de Bitcoin registadas.

O ataque explorou uma obrigação legal, não uma falha de software. As plataformas financeiras são obrigadas por lei a responder a pedidos oficiais de dados vindos de entidades governamentais e forças de segurança. Ao forjar esses pedidos de forma suficientemente convincente para passar a revisão da Revolut, o atacante transformou um processo de conformidade desenhado para proteger o público no mecanismo de um roubo de dados. A Revolut afirmou que tentou validar de forma independente o pedido junto da autoridade relevante, mas a usurpação de identidade só foi descoberta depois de os dados já terem sido partilhados.

Para quem tiver a conta incluída, a exposição é mais profunda do que uma violação normal. Os dados roubados ligam identidades verificadas completas — nomes legais, datas de nascimento, moradas, cópias de passaportes ou cartas de condução, e as selfies submetidas durante a verificação da conta — a referências de carteiras Bitcoin e a registos completos de transações on-chain. Essa combinação não expira. Mesmo que os utilizadores afetados abram novas carteiras, qualquer pessoa com os dados divulgados pode rastrear os movimentos anteriores das suas moedas até uma identidade real confirmada, permanentemente.

A Revolut afirmou que não esteve envolvida nenhuma telemetria facial biométrica — os modelos derivados do sistema usados para correspondência facial automatizada — apenas a fotografia crua tirada durante o onboarding. Os fundos dos clientes não foram afetados. A empresa bloqueou o endereço de email fraudulento, notificou a autoridade governamental cuja identidade foi copiada, alertou as forças de segurança e apresentou as divulgações regulamentares exigidas. Se os reguladores europeus de proteção de dados consideram essa resposta adequada é uma questão em aberto: o RGPD impõe obrigações estritas sobre como as empresas lidam e protegem o tipo de documentos de identificação que foram roubados.

O incidente aponta para uma categoria de ataque que a segurança técnica sozinha não pode prevenir. Uma empresa pode encriptar as suas bases de dados, auditar as suas APIs e executar testes de penetração — e ainda assim ser alvo de engenharia social através dos procedimentos que é legalmente obrigada a seguir. O problema não é o código da Revolut. É a questão não resolvida de como qualquer organização verifica que um pedido com marcas oficiais realmente se origina do oficial que alega representar.

A Revolut notificou diretamente os clientes afetados e não divulgou o número total de contas envolvidas nem os mercados específicos onde a exposição ocorreu. Para quem recebeu uma notificação de violação, documentos de identificação nas mãos de burlões abrem a porta a fraudes que vão muito além da própria plataforma — uso fraudulento de passaportes, chamadas de phishing referenciando detalhes reais de contas, roubo de identidade em serviços financeiros. E o registo Bitcoin é um tipo diferente de problema: a Revolut pode repor uma palavra-passe, mas ninguém repõe a blockchain.

Etiquetas: fintech, data breach, Revolut, social engineering