Ninguém invadiu a Revolut. Pediram os dados por email, e a Revolut entregou

A Revolut, fintech com mais de 80 milhões de clientes, confirmou no sábado 12 de setembro que entregou dados sensíveis de clientes a um terceiro não autorizado. Não houve exploit, não houve malware, não houve invasão de sistema. O atacante enviou pedidos fraudulentos de informação a partir de um domínio de email legítimo de uma agência governamental, com autenticação técnica válida, e os funcionários os atenderam como cumprimento padrão de obrigação legal.

O pacote não é trivial: nascimento, endereços, telefones, cópias de passaportes e carteiras de motorista, e possivelmente selfies de verificação e históricos de transação. Segundo o investigador on-chain ZachXBT, citado pela Help Net Security, o material inclui IBANs e histórico em bitcoin. A Revolut fala em um número limitado de clientes, contatados diretamente, e não divulga o número nem qual agência foi imitada.

No domingo 14 o caso escalou: um grupo que diz ter os dados exige pagamento e ameaça dumps diários de passaportes e selfies. Esses claims vêm do próprio grupo extorsionário e devem ser lidos assim; a confiança sobre a extensão do vazamento em curso é média.

O buraco é estrutural e não é só da Revolut: instituições financeiras são obrigadas a responder pedidos legais de autoridades, e a verificação desses pedidos depende, na prática, de confiar no domínio de origem. O golpe não quebrou a criptografia de ninguém. Quebrou o processo.