A Revolut divulgou identidades de clientes e registos financeiros, incluindo históricos de transações Bitcoin, após atender a um pedido fraudulento que parecia ter vindo de uma agência governamental.
De acordo com um aviso ao cliente da Revolut partilhado no Telegram pelo investigador on-chain ZachXBT, o pedido veio de uma conta de e-mail não autorizada que utilizava o domínio de uma agência governamental oficial. A mensagem passou nas verificações de autenticação de domínio, e a Revolut afirmou que acreditou que o pedido era genuíno ao fornecer a informação.
O aviso não nomeia a agência nem diz como o remetente não autorizado obteve acesso ao seu domínio de e-mail. Também não indica a data do pedido ou da divulgação. ZachXBT afirmou que vários clientes receberam um e-mail de alerta na sexta-feira, 11 de setembro, mas nem ele nem a parte do aviso mostrada na sua publicação forneceram uma contagem confirmada de utilizadores afetados.
No seu relato do incidente, a Revolut afirmou que o e-mail parecia ser um pedido governamental legítimo porque possuía credenciais de autenticação de domínio válidas. O pedido foi enviado diretamente de uma conta não autorizada usando o domínio de e-mail oficial da agência, em vez de um endereço que parecesse similar a ele.
“Como a comunicação continha credenciais de autenticação de domínio válidas, foi atendida sob a crença razoável de que se tratava de um pedido autêntico de uma agência governamental”, diz o aviso.
A formulação descreve uma divulgação não autorizada feita em resposta a um pedido enganoso. O aviso não diz que um intruso entrou nos sistemas da Revolut, acedeu a contas de clientes ou levantou fundos. Não identifica a pessoa que enviou o pedido nem diz se a agência investigou o uso da sua conta de e-mail.
ZachXBT descreveu o incidente como provavelmente limitado em tamanho e disse que parecia ter visado utilizadores de alto património líquido. O aviso da Revolut, conforme mostrado na captura de ecrã, não confirma nem o tamanho do grupo afetado nem como os clientes foram selecionados.
A Revolut listou nomes completos, datas de nascimento e profissões dos clientes entre os detalhes de identidade fornecidos. As informações de contacto incluíam moradas postais, endereços de e-mail e números de telefone.
O pedido também resultou na divulgação de cópias de documentos de identidade, como passaportes ou cartas de condução, juntamente com as selfies que os clientes forneceram para verificações de identidade. A Revolut fez uma distinção entre essas imagens e dados de telemetria facial biométrica, que, segundo ela, não estiveram envolvidos.
Extratos de conta formaram outra parte do material divulgado. De acordo com o aviso, os extratos incluíam IBANs, status da conta, datas de abertura da conta e números de referência de carteira Bitcoin. Registos de levantamentos e históricos completos de transações, incluindo transações Bitcoin, também foram fornecidos.
O aviso lista categorias de informações que podem ter sido divulgadas; não estabelece que cada cliente afetado tinha cada tipo de registo arquivado. Nem diz que chaves privadas de carteira, senhas de conta ou detalhes completos de cartões de pagamento foram incluídos. Os históricos de transações Bitcoin são particularmente relevantes para os utilizadores de cripto porque o aviso os coloca ao lado de nomes e outros registos de conta nas informações enviadas ao solicitante não autorizado.
A Revolut serve mais de 80 milhões de clientes globalmente, de acordo com um anúncio da empresa em agosto. Essa cifra de clientes descreve o tamanho do seu negócio, não o número afetado por esta divulgação.
O Information Commissioner’s Office do Reino Unido afirma que as possíveis consequências de uma violação de dados pessoais incluem roubo de identidade, fraude e perda financeira. A sua orientação sobre violações exige uma avaliação das informações envolvidas e do provável dano aos indivíduos; não estabelece que alguém tenha sofrido esses resultados no incidente da Revolut.
Para um cliente cujos documentos de identidade e registos de transações foram ambos divulgados, o aviso indica que o recetor poderia ter obtido um registo detalhado das finanças dessa pessoa. A alegação de ZachXBT sobre utilizadores ricos serem visados não foi confirmada pela Revolut no material mostrado, e nenhum uso indevido subsequente dos registos é documentado ali.
A orientação do regulador também diz que as organizações devem reportar certas violações de dados pessoais dentro de 72 horas após tomarem conhecimento delas, quando viável, e notificar os indivíduos sem atrasos indevidos quando o risco para os seus direitos e liberdades for alto. A captura de ecrã não diz se a Revolut notificou um regulador ou quando a empresa tomou conhecimento do pedido não autorizado.
Na sua orientação de segurança nos EUA, a Revolut informa os clientes para usarem o chat de suporte na aplicação para verificar se um contacto suspeito é genuíno. A empresa diz que não pedirá aos clientes para partilharem códigos de verificação ou segurança por telefone. O aviso ao cliente mostrado por ZachXBT não relata que tais códigos foram divulgados.
O incidente ocorre durante a expansão dos serviços bancários e de ativos digitais da Revolut. Em 26 de agosto, a empresa começou a oferecer a sua stablecoin EURR, ancorada no euro, a clientes selecionados na Dinamarca, Polónia e Portugal, com maior disponibilidade europeia planeada, conforme previamente reportado pelo crypto.news. O lançamento da stablecoin é separado da divulgação de registos de clientes.
Os planos da Revolut nos EUA fornecem contexto para os leitores americanos, embora o aviso não identifique nenhum cliente afetado como estando nos Estados Unidos. Em 3 de setembro, a empresa recebeu aprovação condicional para um banco nos EUA do Office of the Comptroller of the Currency. O seu banco proposto em Stamford, Connecticut, receberia cerca de 95 milhões de dólares em capital inicial e poderia abrir em 2027 se obtiver as restantes aprovações.
Por enquanto, a Revolut fornece serviços bancários a clientes dos EUA através do Lead Bank, de acordo com o relatório anterior. O banco nacional proposto ainda precisa de seguro de depósito da Federal Deposit Insurance Corporation, aprovação da Federal Reserve e autorização final do OCC antes de poder abrir.
BTC