A Revolut confirmou no sábado, 12 de setembro, que entregou dados sensíveis de clientes a um terceiro não autorizado. Segundo a fintech britânica, golpistas usaram um endereço de e-mail dentro do domínio legítimo de uma agência governamental para enviar pedidos de informação falsos, e a empresa respondeu a esses pedidos, relatou o TechCrunch.
A companhia classificou o episódio como "um sofisticado golpe externo de falsificação de identidade" e disse que um número "limitado" de clientes foi afetado. A Revolut não informou quantas pessoas tiveram os dados expostos, qual órgão público teve o domínio usado nem se o problema ficou restrito a algum país.
Quais dados foram repassados
De acordo com o TechCrunch, as informações entregues incluem data de nascimento, endereço, e-mail e telefone, além de cópias de documentos de identidade, como passaporte e carteira de motorista. Também podem ter saído selfies de verificação, extratos e históricos de transações.
O Help Net Security e a Infosecurity Magazine acrescentaram outros itens à lista: profissão, IBAN (o número internacional da conta bancária), data de abertura da conta, registros de saque e referências de carteiras e transações de bitcoin.
Como o golpe funcionou
A empresa afirma que o vazamento não veio de invasão aos seus sistemas principais, ao aplicativo ou às contas dos clientes. Os criminosos operaram uma conta de e-mail não autorizada dentro do domínio oficial de um órgão público, o que dava aparência de legitimidade às requisições, informou o TechCrunch.
Quando percebeu a fraude, a equipe de segurança "bloqueou imediatamente o endereço", avisou os clientes afetados e alertou órgãos do governo, a polícia, as autoridades de proteção de dados e os reguladores financeiros, segundo a Infosecurity Magazine. A Revolut diz que o dinheiro dos clientes não foi tocado.
O alvo seria cliente de alta renda
O pesquisador de criptomoedas ZachXBT sugeriu que a ação mirou pessoas de alto patrimônio, relatou o TechCrunch. O Help Net Security também avaliou, pela sofisticação do ataque, que os usuários de alta renda eram o foco.
O caso piorou dois dias depois. Em 14 de setembro, um grupo passou a dizer que estava vazando dados de clientes VIP e a exigir pagamento, com a ameaça de publicar mais mensagens privadas e material interno da empresa, segundo o Help Net Security. De acordo com o The Register, criminosos que se apresentam em grupos do Telegram reivindicaram o ataque e pediram 10 mil bitcoins, cerca de US$ 782 milhões, com a promessa de soltar dados todos os dias até o pagamento.
A Malwarebytes avalia que o risco maior para o consumidor está numa segunda etapa: "O impacto provável serão tentativas de fraude posteriores, e não transferências imediatas sem autorização". Com passaporte, selfie e extrato em mãos, o golpista pode tentar roubar a identidade da vítima ou montar fraudes mais elaboradas, segundo a empresa de segurança.
O que dizem especialistas
Muhammad Yahya Patel, diretor virtual de segurança da informação da Huntress, questionou os controles da empresa. "Para uma fintech construída sobre verificação digital de identidade, a exigência para validar pedidos de dados de terceiros deveria ser excepcionalmente alta", disse à Infosecurity Magazine.
Jamie Akhtar, CEO da CyberSmart, afirmou à mesma publicação que as informações podem ser usadas em fraude de identidade e em ataques de phishing direcionados, aqueles em que o criminoso cita dados verdadeiros da vítima para ganhar confiança.
A Revolut no Brasil
A Revolut tem mais de 80 milhões de clientes pessoa física e 800 mil empresas no mundo, e recebeu autorização para operar como banco no Reino Unido em março de 2026, segundo o The Register. A empresa chegou ao Brasil em maio de 2023 e hoje atua em mais de 40 países, informou o Money Times em reportagem de 10 de setembro.
Na mesma entrevista, o CEO da operação brasileira, Glauber Mota, disse ter como meta pessoal colocar o Brasil entre os três a cinco maiores mercados da companhia nos próximos anos. O Money Times registrou que a Revolut foi avaliada em US$ 115 bilhões em julho de 2026, cerca do dobro dos US$ 74 bilhões do Nubank, e que a empresa disputa ao mesmo tempo câmbio, pagamentos, cartões premium e serviços bancários.
A Revolut não disse se há clientes do Brasil ou dos Estados Unidos entre os atingidos. Nenhuma das reportagens sobre o incidente menciona esses dois mercados.
Como se proteger
A Infosecurity Magazine reuniu recomendações para quem tem conta na Revolut ou suspeita de exposição dos próprios dados:
- não informar senha nem código de segurança a quem fizer contato sem ter sido procurado;
- ativar a autenticação em dois fatores;
- usar uma senha diferente em cada serviço;
- acompanhar a movimentação da conta e o relatório de crédito em busca de atividade estranha.
A Malwarebytes acrescenta outros cuidados: tratar como suspeito qualquer contato inesperado em nome da Revolut, conferir saldo, cartões, beneficiários cadastrados e aparelhos vinculados à conta, e relatar atividade estranha pelo chat seguro do próprio aplicativo.
O que vem a seguir
A Revolut afirma ter procurado diretamente os clientes afetados. Até 14 de setembro, a empresa não havia divulgado o número de atingidos nem o órgão cujo domínio foi usado, e o grupo que reivindica o vazamento mantinha a ameaça de publicar mais dados até receber pagamento.
Comentários
Faça login para comentar
EntrarSeja o primeiro a comentar!