A Revolut confirmou que informações sensíveis de clientes foram entregues a partes não autorizadas após golpistas enviarem solicitações fraudulentas usando uma conta de e-mail hospedada em um domínio legítimo de agência governamental.
A empresa de tecnologia financeira descreveu o incidente como um “sofisticado golpe de personificação externa”. Os atacantes não precisaram invadir os sistemas da Revolut. Em vez disso, enviaram pedidos de informações dos clientes que pareciam vir de uma autoridade governamental.
Como os pedidos tinham origem em uma conta de e-mail dentro do domínio legítimo da agência, a Revolut inicialmente os tratou como informações autênticas e divulgadas associadas a um número limitado de clientes.
As informações expostas incluíam nomes, datas de nascimento, profissões, endereços postais e de e-mail, números de telefone e cópias de documentos de identidade, como passaportes e carteiras de motorista.
Informações adicionais também podem ter sido divulgadas. Notificações enviadas aos clientes afetados indicam que selfies de verificação, extratos de conta, IBANs, registros de saque e históricos completos de transações poderiam ter sido incluídos. Para alguns clientes, esses históricos também continham transações em Bitcoin.
A Revolut não divulgou exatamente quantos clientes foram afetados. A empresa descreveu o número como limitado e disse que essas pessoas foram contatadas diretamente.
A identidade da agência governamental cujo domínio de e-mail foi utilizado também não foi revelada publicamente. Ainda não está claro como a parte não autorizada obteve uma conta de e-mail dentro do domínio da agência.
Após descobrir o problema, a Revolut disse que bloqueou o endereço de e-mail envolvido e alertou a agência governamental relevante. Órgãos de aplicação da lei, autoridades de proteção de dados e reguladores financeiros também foram notificados.
A empresa afirmou que seus próprios sistemas não foram comprometidos no incidente e que os fundos dos clientes não foram afetados. As informações disponíveis, portanto, apontam para divulgação não autorizada por meio de solicitações fraudulentas, em vez de atacantes obtendo acesso direto à infraestrutura bancária da Revolut.
O incidente é separado de uma alegação de julho, na qual alguém ofereceu o que descreveram como 75 milhões de registros de clientes da Revolut para venda. A Revolut disse na época que não encontrou nenhuma evidência de que seus sistemas haviam sido violados em conexão com esse conjunto de dados.
No caso mais recente, entretanto, a Revolut confirmou que as informações dos clientes foram divulgadas a terceiros não autorizados. A empresa não identificou publicamente a agência governamental envolvida nem forneceu um número exato de clientes cujas informações foram divulgadas.