O vazamento de dados da Revolut foi confirmado pela fintech britânica após pedidos fraudulentos enviados a partir de um domínio de e-mail pertencente a uma agência governamental legítima. A empresa disse que um número limitado de clientes foi afetado, mas não informou quantas pessoas receberam a comunicação nem revelou qual órgão teve o domínio usado na tentativa de personificação.
O caso ganhou atenção no Google Trends Brasil nesta segunda-feira (14), com o termo em inglês “what is a data breach” entre as pesquisas acompanhadas no país. A tendência indica procura por explicações, mas não substitui a apuração. As informações do incidente foram confrontadas com reportagens da TechCrunch e da Reuters e com orientações técnicas do CERT.br sobre golpes e proteção de dados.
Vazamento de dados da Revolut ocorreu por falsa solicitação
Segundo a notificação enviada aos clientes e revisada pela TechCrunch, a fraude não foi descrita como uma invasão direta aos servidores da Revolut. O terceiro não autorizado teria usado pedidos que pareciam oficiais porque foram enviados de um endereço dentro de um domínio governamental real. A empresa classificou o episódio como um golpe sofisticado de personificação externa.
A companhia afirmou que bloqueou o endereço depois de identificar o esquema, avisou a agência governamental envolvida, comunicou as autoridades policiais e informou reguladores financeiros. Também declarou que seus sistemas e os recursos financeiros dos clientes não foram afetados. A afirmação é da empresa e não equivale ao encerramento das investigações sobre o alcance da exposição.
A fintech não divulgou o número exato de pessoas atingidas, o mercado específico em que os clientes estão localizados nem o nome da agência cujo domínio foi usado. A TechCrunch informou que a empresa entrou em contato diretamente com os clientes considerados afetados. Não há, portanto, uma lista pública que permita concluir se uma pessoa foi ou não incluída no incidente.
Quais informações podem ter sido expostas
O aviso analisado pela TechCrunch afirma que os dados poderiam incluir informações de identidade e contato, como data de nascimento, endereço postal, endereço de e-mail e número de telefone. Também foram mencionadas cópias de documentos de identidade, incluindo passaportes e carteiras de habilitação.
Ainda de acordo com a notificação, alguns registros poderiam conter selfies usadas na verificação, extratos de conta e históricos de transações. O texto usa linguagem de possibilidade, e a empresa não detalhou publicamente quais campos foram acessados para cada cliente. Por isso, é incorreto transformar a lista potencial em confirmação de que todos os dados foram expostos para todas as pessoas.
A diferença entre uma invasão técnica e uma divulgação obtida por engenharia social é importante. Em vez de explorar uma falha de software, o fraudador teria tentado convencer uma equipe autorizada a tratar uma solicitação falsa como legítima. O episódio mostra que controles de autenticação precisam considerar a origem real do pedido, o contexto e uma confirmação por canal independente.
Como clientes devem agir após o alerta
Quem recebeu uma mensagem da Revolut deve acessar o aplicativo ou o site digitando o endereço manualmente, sem clicar em links do e-mail. A comunicação não deve ser encaminhada nem respondida com documentos, senhas, códigos de autenticação ou frases de recuperação. O cliente deve confirmar a orientação dentro do canal oficial de suporte e guardar a mensagem original para eventual investigação.
Se houver transação suspeita ou dúvida sobre o cartão, a central de ajuda da Revolut orienta proteger a conta e congelar o cartão pelo aplicativo. Também é recomendável trocar senhas reutilizadas em outros serviços, ativar autenticação adicional quando disponível e acompanhar notificações bancárias, consultas de crédito e tentativas de abertura de conta em nome do titular.
O CERT.br recomenda cautela com mensagens que pressionam o usuário a agir, abrir anexos ou informar dados. Em caso de fraude, a pessoa deve contatar a instituição financeira pelos canais oficiais e registrar ocorrência quando houver prejuízo ou uso indevido de identidade. A editoria de Segurança continuará acompanhando eventuais atualizações da empresa e das autoridades, sem antecipar conclusões sobre clientes que não foram oficialmente notificados.
