A Revolut expôs informações pessoais e financeiras de parte de seus clientes após atender a um pedido fraudulento de dados que aparentava ter sido enviado por uma agência governamental legítima. A fintech comunicou usuários afetados na sexta-feira (11), e o caso foi divulgado neste sábado (12) pelo investigador de blockchain ZachXBT.
Segundo a notificação enviada pela empresa, o pedido chegou por uma conta de e-mail não autorizada que parecia pertencer a um órgão público. Após fornecer as informações, a Revolut entrou em contato diretamente com a agência envolvida para validar a solicitação e constatou que ela não era legítima.
O episódio caracteriza uma exposição provocada por engenharia social, e não por uma invasão técnica à infraestrutura da fintech. O relato inicial afirma que não houve perda de fundos de clientes.
Documentos, IBANs e histórico de transações foram expostos
Entre as informações afetadas estão cópias de passaportes ou carteiras de motorista, selfies usadas na verificação de identidade, nomes completos, datas de nascimento, profissões, endereços residenciais, e-mails e números de telefone.
A exposição também alcançou dados financeiros, incluindo IBANs, extratos bancários, registros de saques e históricos completos de transações, inclusive movimentações envolvendo Bitcoin. A Revolut informou aos clientes que dados de telemetria biométrica facial não foram comprometidos.
A quantidade de clientes afetados não foi divulgada. ZachXBT afirmou que o incidente parece ter alcance limitado, mas pode ter sido direcionado principalmente a clientes de alto patrimônio. A avaliação não foi confirmada publicamente pela Revolut.
A política da fintech prevê o compartilhamento de informações com autoridades quando exigido por lei. A própria Revolut mantém um canal específico para solicitações oficiais e ordens judiciais, o que torna a validação da origem desses pedidos uma etapa central do processo.
