Os atacantes que visaram a Revolut começaram no fim de semana a divulgar online passaportes de clientes e selfies usadas na verificação de identidade, exigindo um pagamento em troca do fim das divulgações e prometendo novos vazamentos diários até a fintech ceder.
Principais pontos:
- O grupo começou a publicar documentos de identidade e selfies de clientes da Revolut, prometendo divulgações diárias até receber um resgate.
- O material vazado inclui, segundo relatos, passaportes, IBAN, registos de levantamentos e históricos completos de negociação.
- A Revolut afirma que apenas um número muito reduzido de clientes foi afetado e que sistemas e fundos permaneceram intactos.
Vazamento da Revolut torna‑se público
A conta de monitorização International Cyber Digest divulgou em 13 de setembro que o grupo tinha deixado de esperar um pagamento e começado a publicar ficheiros relacionados com titulares de contas de alto perfil. A primeira leva incluía documentos de identificação e selfies de verificação. A mesma conta referiu que os atacantes tinham enviado antes e‑mails à Revolut com exigências de informação, antes de tornarem o caso público.
Esses documentos pertenciam ao tenista Alexander Shevchenko e a Felix Römer, presidente‑executivo da casa de apostas cripto Gamdom. Publicações especializadas em cripto situaram o pedido de resgate em 10.000 Bitcoin (BTC), perto de 780 milhões de dólares aos preços de segunda‑feira, embora outros meios indiquem que o montante não foi oficialmente confirmado.
A Revolut recusou comentar o valor exigido. Um porta‑voz sublinhou que a infraestrutura central, as bases de dados e as contas dos clientes não foram comprometidas.
Leia também: ETFs de XRP atingem recorde de $1,7 mil milhões com 9 semanas seguidas de entradas apesar da fraqueza do preço
ZachXBT aponta foco em “baleias”
O investigador ZachXBT divulgou no Telegram o aviso enviado aos clientes. Ele acrescentou várias categorias de dados que, segundo diz, não constavam do e‑mail da Revolut, incluindo IBAN, registos de levantamentos, profissões e históricos completos de transações em Bitcoin. Na sua avaliação, a fuga é limitada em número de vítimas, mas dirigida a titulares de contas com património elevado.
A Revolut não corroborou essa leitura nem confirmou que investidores em cripto tenham sido especificamente visados. Investigadores alertam que a combinação de uma imagem de passaporte com um histórico integral de negociações permite campanhas de phishing altamente direcionadas e análise de cadeias de transação a partir de um nome real. Documentos de identidade e imagens de verificação facial aumentam ainda o risco de fraude por usurpação de identidade contra todos os visados.
Origem da violação na Revolut
A exposição de dados terá começado com um único e‑mail enviado a partir de uma caixa de correio criada dentro do domínio real de um organismo governamental, com autenticação válida e capaz de ultrapassar os controlos da Revolut. As instituições financeiras são obrigadas a responder a pedidos oficiais de entidades públicas e a mensagem apresentava‑se como tal.
Cópias do aviso aos clientes começaram a circular em 12 de setembro, quando a Revolut classificou o incidente como um sofisticado esquema de falsificação de entidade externa e assegurou ter notificado reguladores e autoridades policiais.
Mark Karpelès, antigo presidente‑executivo da bolsa Mt. Gox, publicou nesse mesmo dia o seu próprio aviso. A empresa continua sem revelar quantos clientes foram afetados. A Revolut serve mais de 80 milhões de utilizadores em 30 países e está a conduzir uma venda secundária de ações que avalia a fintech em cerca de 115 mil milhões de dólares.
A seguir: Sam Altman afasta uma IPO da OpenAI em 2026 e aponta trabalho de segurança em IA como motivo
