Revolut foi alvo de um grupo de cibercriminosos que, no fim de semana, começou a publicar passaportes de clientes e selfies usadas em processos de verificação de identidade. Os atacantes exigem um pagamento de resgate e prometem novos vazamentos diários até que a fintech ceda às exigências.
Pontos-chave:
- Criminosos começaram a divulgar documentos de identidade e selfies de clientes da Revolut, prometendo novas publicações diárias até receberem resgate.
- O material vazado incluiria passaportes, IBANs, registos de levantamentos e históricos completos de negociação.
- A Revolut afirma que apenas um número muito limitado de clientes foi afetado e que sistemas e fundos permanecem intactos.
Vazamento da Revolut Torna-se Público
A conta de monitorização International Cyber Digest relatou em 13 de setembro que o grupo tinha deixado de aguardar o pagamento do resgate e passara a despejar ficheiros relativos a clientes de alto perfil. O primeiro lote incluía documentos de identificação e selfies de verificação. A mesma conta indicou que os atacantes tinham enviado antes um email à Revolut com exigências de informação, antes de tornarem o caso público.
Entre os clientes expostos estavam o tenista Alexander Shevchenko e Felix Römer, presidente‑executivo da casa de apostas cripto Gamdom. Publicações especializadas em cripto estimaram o pedido de resgate em 10.000 Bitcoin (BTC), valor próximo de 780 milhões de dólares aos preços de segunda‑feira, embora outras fontes indiquem que o montante não foi oficialmente confirmado.
A Revolut recusou comentar o valor exigido. Um porta‑voz limitou‑se a afirmar que a infraestrutura central, as bases de dados e as contas dos clientes não foram comprometidas.
Leia também: ETFs de XRP Batem Recorde de US$ 1,7 Bi com 9 Semanas Seguidas de Entradas, Apesar da Fraqueza no Preço
ZachXBT Aponta Mira em Grandes Contas
O investigador ZachXBT divulgou no Telegram o aviso enviado aos clientes. Ele acrescentou várias categorias de dados que, segundo ele, não foram mencionadas pela própria Revolut no email oficial, incluindo IBANs, registos de levantamentos, profissões e históricos completos de transações em Bitcoin. Na sua avaliação, a violação é limitada em escala, mas direcionada a clientes com património elevado.
A Revolut não confirmou essa leitura nem declarou que utilizadores cripto tenham sido especificamente visados. Investigadores alertam que combinar uma imagem de passaporte com um histórico de negociação completo abre espaço para ataques de phishing altamente direcionados e para análises em cadeia que partem de um nome real. Documentos de identidade e imagens de verificação facial também ampliam o risco de fraudes por personificação contra todos os envolvidos.
Como se Deu a Violação na Revolut
A origem do incidente remete a um único email enviado a partir de uma caixa criada dentro do domínio de uma entidade governamental legítima, com autenticação válida e capaz de ultrapassar os controlos de segurança da Revolut. As instituições financeiras são obrigadas a responder a pedidos oficiais de entidades públicas e, à primeira vista, a mensagem cumpria todos os requisitos formais.
Cópias do aviso aos clientes começaram a circular em 12 de setembro, quando a Revolut classificou o episódio como um esquema sofisticado de personificação externa e informou ter notificado reguladores e autoridades policiais.
Mark Karpelès, ex‑presidente‑executivo da extinta bolsa Mt. Gox, publicou nesse mesmo dia o seu próprio aviso. A Revolut ainda não revelou quantos clientes foram afetados. A fintech atende mais de 80 milhões de utilizadores em 30 países e está a conduzir uma venda secundária de ações que a avalia em cerca de 115 mil milhões de dólares.
A seguir: Sam Altman Descarta IPO da OpenAI em 2026 e Culpa Agenda de Segurança em IA
