Revolut confirmou exposição de dados após pedidos fraudulentos

A Revolut confirmou uma exposição de dados de clientes após receber solicitações fraudulentas de uma agência governamental. Indivíduos que dizem ter os dados exigem 10.000 bitcoins para não divulgar o material.

A cifra representa centenas de milhões de dólares na cotação atual do Bitcoin. O valor, porém, é uma exigência de criminosos. A Revolut confirmou a exposição, mas não reconheceu o resgate nem validou o material. Um grupo limitado de clientes foi afetado. Os fundos e sistemas centrais não foram comprometidos. O caso foi comunicado às autoridades e a origem das solicitações foi bloqueada.

O método é um dos pontos centrais da investigação. Em vez de invadir a infraestrutura, os responsáveis usaram pedidos que pareciam vir de uma entidade pública legítima. A estratégia explorou o processo interno da empresa para responder a solicitações externas. Esse caminho que contorna firewalls e criptografia sem precisar quebrar nada. Os dados expostos incluem nomes, datas de nascimento, endereços, telefones, emails e documentos. Há também extratos, registros de saques e históricos de transações. Operações com Bitcoin aparecem entre os registros afetados.

O que se sabe sobre o ataque

A combinação desses dados amplia o risco. Documentos financeiros facilitam abordagens personalizadas, tentativas de fraude e seleção de alvos mais valiosos. O episódio ganha dimensão extra porque a Revolut oferece serviços de criptoativos. A empresa disponibiliza centenas de tokens e usa armazenamento a frio e carteiras com múltiplas assinaturas para proteger ativos.

A quantidade exata de clientes não foi divulgada. A Revolut diz ter contatado os afetados, mas não revelou qual agência teve o domínio usado nem deu detalhes sobre a origem dos responsáveis. A ameaça dos 10.000 bitcoins surgiu após a confirmação. Os responsáveis passaram a ameaçar divulgar informações de clientes e teriam publicado parte do material. A autenticidade de tudo não foi confirmada independentemente.

O Bitcoin permite cobrança internacional sem instituição financeira. Ao mesmo tempo, as movimentações ficam na blockchain pública, permitindo acompanhar os endereços depois.

O caso mostra que a segurança de uma empresa financeira não depende só de servidores e aplicativos. Processos internos para validar pedidos externos viram pontos de risco. Uma falha aí pode resultar em entrega de dados sem a rede principal ter sido invadida.

A Revolut vive expansão institucional. Em 3 de setembro, anunciou aprovação condicional da autoridade bancária dos EUA para formar um banco nacional. O projeto depende de outras autorizações e tem lançamento previsto para 2027. Não há indicação de que os responsáveis tenham movimentado saldos. Exposição de dados não é retirada de recursos. Os fundos permaneceram protegidos, segundo a empresa.

Para os afetados, o risco aparece em novas tentativas de fraude. Dados pessoais combinados com informações financeiras sustentam mensagens falsas de suporte ou pedidos de códigos e autorizações. A empresa orienta usuários a comunicar atividades suspeitas pelos canais oficiais.

O que ainda precisa ser esclarecido

O episódio reforça que dados financeiros têm valor próprio para criminosos. O objetivo não precisa ser retirar dinheiro agora. Informações sobre identidade, patrimônio e movimentações servem para pressão, fraude e extorsão.

Falta esclarecer quem obteve os dados, quantos foram afetados e como os pedidos passaram pelos controles internos. A investigação deve verificar se o material dos responsáveis é realmente da Revolut. Por enquanto, o fato confirmado é que uma solicitação fraudulenta provocou a divulgação de informações sensíveis. A exigência dos 10.000 bitcoins acrescenta extorsão, mas a questão central é a validação dos pedidos e na proteção dos dados.