Revolut entregou seu passaporte a golpistas — sem hackear nenhum servidor

A Revolut não foi invadida. Ninguém rompeu seus firewalls ou encontrou uma vulnerabilidade em seu código. Em vez disso, um atacante se passou por uma autoridade governamental usando um endereço de e-mail com um domínio oficial legítimo, enviou uma solicitação de divulgação de dados que as verificações da Revolut aceitaram como genuína e saiu com documentos de identidade completos, cópias de passaportes, selfies de cadastro e o histórico completo de contas dos usuários afetados — incluindo cada transação de Bitcoin registrada.

O ataque explorou uma obrigação legal, não uma falha de software. Plataformas financeiras são obrigadas por lei a responder a solicitações oficiais de dados de órgãos governamentais e forças policiais. Ao forjar essas solicitações de forma convincente o suficiente para passar pela revisão da Revolut, o atacante transformou um processo de conformidade criado para proteger o público no mecanismo de um roubo de dados. A Revolut disse que tentou validar a solicitação de forma independente com a autoridade relevante, mas a falsificação só foi descoberta depois que os dados já haviam sido compartilhados.

Para qualquer pessoa cuja conta foi incluída, a exposição é mais profunda do que uma violação padrão. Os dados roubados vinculam identidades verificadas completas — nomes legais, datas de nascimento, endereços residenciais, cópias de passaportes ou carteiras de motorista e as selfies enviadas durante a verificação da conta — a referências de carteiras Bitcoin e registros completos de transações on-chain. Essa combinação não expira. Mesmo que os usuários afetados abram novas carteiras, qualquer pessoa com os dados vazados pode rastrear seus movimentos anteriores de moeda até uma identidade real confirmada, permanentemente.

A Revolut afirmou que nenhuma telemetria facial biométrica esteve envolvida — os modelos derivados do sistema usados para correspondência facial automatizada — apenas a fotografia bruta tirada durante o cadastro. Os fundos dos clientes não foram afetados. A empresa bloqueou o endereço de e-mail fraudulento, notificou a autoridade governamental cuja identidade foi copiada, alertou as autoridades policiais e apresentou as divulgações regulatórias exigidas. Se os reguladores europeus de proteção de dados considerarão essa resposta adequada é uma questão em aberto: o GDPR impõe obrigações estritas sobre como as empresas lidam e protegem o tipo de documento de identidade que foi levado.

O incidente aponta para uma categoria de ataque que a segurança técnica sozinha não pode prevenir. Uma empresa pode criptografar seus bancos de dados, auditar suas APIs e executar testes de penetração — e ainda assim ser enganada socialmente por meio dos procedimentos que é legalmente obrigada a seguir. O problema não é o código da Revolut. É a questão não resolvida de como qualquer organização verifica se uma solicitação com marcações oficiais realmente se origina do órgão que afirma representar.

A Revolut notificou diretamente os clientes afetados e não divulgou o número total de contas envolvidas ou os mercados específicos onde a exposição ocorreu. Para qualquer pessoa que recebeu uma notificação de violação, documentos de identidade nas mãos de golpistas abrem a porta para fraudes que vão muito além da própria plataforma — uso fraudulento de passaporte, chamadas de phishing referenciando detalhes reais de conta, roubo de identidade em serviços financeiros. E o registro de Bitcoin é um tipo diferente de problema: a Revolut pode redefinir uma senha, mas ninguém redefine o blockchain.

Tags: fintech, data breach, Revolut, social engineering