Revolut atacada passou a ter passaportes de clientes e selfies de verificação expostos a partir do fim de semana, em mais um capítulo de extorsão corporativa de alto calibre. Os criminosos exigem pagamento em criptomoedas e prometem novos vazamentos diários até que a fintech ceda às exigências.
Principais pontos:
- Criminosos começaram a publicar documentos de identidade e selfies de verificação de clientes da Revolut, prometendo divulgações diárias até o pagamento de um resgate.
- O material vazado inclui, segundo relatos, passaportes, IBANs, registros de saques e históricos completos de negociação.
- A Revolut afirma que apenas um número muito limitado de clientes foi afetado e que sistemas, infraestrutura central e recursos permanecem intactos.
Vazamento da Revolut Vai a Público
O perfil de monitoramento International Cyber Digest relatou em 13 de setembro que o grupo havia parado de esperar o pagamento e começado a despejar arquivos de clientes de alta visibilidade. O primeiro lote incluiu documentos de identidade e selfies usadas em processos de verificação. O mesmo perfil afirmou que os atacantes haviam enviado e‑mails à Revolut com uma lista de exigências antes de tornarem o caso público.
Esses documentos pertenciam ao tenista Alexander Shevchenko e a Felix Römer, presidente‑executivo do site de apostas em cripto Gamdom. Veículos especializados em cripto estimaram a exigência em 10.000 Bitcoin (BTC), algo próximo de US$ 780 milhões aos preços de segunda‑feira, embora outras fontes indiquem que o valor não foi oficialmente confirmado.
A Revolut se recusou a comentar o pedido de resgate. Um porta‑voz afirmou que a infraestrutura central, os bancos de dados e as contas dos clientes não foram comprometidos.
Leia também: ETFs de XRP Batem Recorde de US$ 1,7 Bi em 9 Semanas Seguidas de Entrada, Apesar da Fraqueza de Preço
ZachXBT Aponta Mira em Grandes Investidores
O investigador ZachXBT divulgou no Telegram o comunicado enviado aos clientes. Ele detalhou vários tipos de informação que, segundo ele, não apareciam no e‑mail da própria Revolut, como IBANs, registros de saque, profissão e históricos completos de transações em Bitcoin. Na avaliação de ZachXBT, o incidente é limitado em volume, mas direcionado a clientes de alta renda e grandes detentores de cripto.
A Revolut não endossou essa leitura e não afirmou que investidores em cripto foram especificamente mirados. Pesquisadores alertam que combinar a imagem de um passaporte com um histórico completo de negociações permite campanhas de phishing extremamente direcionadas e análises on‑chain a partir de um nome real. Documentos de identidade e imagens usadas em verificação facial também aumentam o risco de fraude por falsidade ideológica contra todos os envolvidos.
Como Começou a Violação de Dados na Revolut
A exposição teve origem em um único e‑mail enviado a partir de uma caixa postal criada dentro do domínio de uma agência governamental legítima, com autenticação válida e capaz de superar as checagens de segurança da Revolut. Instituições financeiras são obrigadas a responder a solicitações oficiais de órgãos públicos, e a mensagem imitava exatamente esse tipo de pedido.
Cópias do comunicado da empresa aos clientes começaram a circular em 12 de setembro, quando a Revolut classificou o episódio como um golpe sofisticado de personificação externa e disse ter notificado reguladores e autoridades policiais.
Mark Karpelès, ex‑CEO da Mt. Gox, publicou seu próprio aviso no mesmo dia. A empresa ainda não revelou quantos usuários foram afetados. A Revolut atende mais de 80 milhões de clientes em 30 países e conduz atualmente uma oferta secundária de ações que avalia a fintech em cerca de US$ 115 bilhões.
Na sequência: Sam Altman Descarta IPO da OpenAI em 2026 e Culpa Agenda de Segurança em IA
