Revolut vaza dados de clientes após golpe com domínio de agência governamental

A Revolut entregou dados sensíveis de clientes, incluindo cópias de passaportes, selfies de verificação e históricos completos de transações de Bitcoin, a um ator malicioso após cair em uma solicitação fraudulenta que usava o domínio legítimo de uma agência governamental.

Isso significa que a empresa violou a confiança de seus clientes ao não conseguir distinguir um pedido falso de um real, comprometendo dados pessoais e financeiros.

O e-mail fraudulento veio de um domínio oficial de agência governamental, mas de uma conta não autorizada, e passou nas verificações de autenticação.

O fato de o e-mail ter vindo de um domínio legítimo, mas de uma conta não autorizada, mostra que governos podem ser usados como vetor de ataque devido a vulnerabilidades na segurança de seus sistemas.

A Revolut confirmou o incidente em 12 de setembro de 2026, dizendo que uma empresa sofreu um golpe de 'impersonação externa sofisticada' e que um número limitado de clientes foi afetado.

A confirmação oficial da empresa é importante para dar publicidade ao incidente e alertar em escala para outros clientes que podem ter sido afetados.

O investigador de criptoativos ZachXBT divulgou o chamado público do incidente e alertou que o ataque pareceu ter como alvo usuários de alto patrimônio, criando preocupações de "wrench attack" em meio a uma onda de vazamentos similares.

A denúncia de ZachXBT levou a notícia a público e destaca um risco específico para clientes com grandes criptoativos, que podem estar sujeitos a ameaças físicas devido à exposição de seus dados.

Criminosos que obtiveram os dados da Revolut estão vazando as informações no Telegram e exigindo um resgate de 10.000 BTC (cerca de US$ 780 milhões).

A exigência de resgate em Bitcoin indica a escala do ataque e a pressão sobre a Revolut, sugerindo que os criminosos buscam lucro financeiro direto com os dados roubados.