O ataque cibernético que levou a Revolut a entregar informações sensíveis de clientes a golpistas pode ter sido mais amplo e de longa duração do que se pensava inicialmente, segundo novas alegações do hacker por trás da operação.
O atacante, usando o nome “IAmNotAVillain”, afirma ter mantido acesso a vários departamentos de aplicação da lei italianos por aproximadamente seis meses. Durante esse período, o hacker teria usado sistemas governamentais comprometidos para enviar pedidos de informações privadas de clientes para a Revolut.
Essas alegações não foram verificadas de forma independente, e as autoridades italianas não confirmaram publicamente que os sistemas descritos pelo atacante foram comprometidos.
O que está confirmado é que a Revolut divulgou informações de clientes após receber solicitações fraudulentas enviadas de um endereço de e-mail em domínio legítimo de agência governamental. A empresa fintech descreveu o incidente como um “sofisticado golpe de personificação externa.”
A empresa inicialmente afirmou que um número limitado de clientes foi afetado, sem fornecer um número. Relatórios mais recentes indicam que a Revolut entrou em contato com 680 clientes após sua investigação inicial.
As informações divulgadas aos atacantes incluíam registros altamente sensíveis de identidade e financeiros. Dependendo do cliente afetado, isso pode incluir nomes, endereços, documentos de identidade, fotografias de verificação, informações de contas bancárias e históricos de transações, incluindo atividade em criptomoedas.
A Revolut sustenta que os atacantes não comprometeram seus próprios sistemas e que os fundos dos clientes permanecem inalterados.
O hacker agora faz alegações substancialmente mais amplas sobre a operação. IAmNotAVillain diz que 147GB de informações foram obtidas das autoridades italianas, incluindo documentos internos, calendários e arquivos pessoais. O atacante também afirma possuir comunicações privadas retiradas de sistemas de aplicação da lei.
Nenhuma dessas alegações estabelece que 147GB de dados vieram da Revolut. Em vez disso, o suposto arquivo teria origem em sistemas comprometidos do governo italiano.
O atacante ainda afirma que registros de clientes da Revolut foram obtidos em diversos países, com a maioria dos dados relacionada a clientes na Suíça e na França. Outros países supostamente representados nas informações roubadas incluem Alemanha, Espanha, Itália, Polônia, Suécia, Holanda, Irlanda, Lituânia e Reino Unido, entre outros. Essas alegações geográficas também não foram confirmadas pela Revolut.
O incidente parece ter explorado a confiança nas comunicações oficiais do governo, e não uma vulnerabilidade dentro da infraestrutura bancária da Revolut. Após detectar a atividade fraudulenta, a Revolut bloqueou o endereço de e-mail e alertou a agência governamental relevante, as autoridades policiais, as autoridades de proteção de dados e os reguladores financeiros.
O Escritório do Comissário de Informação do Reino Unido está investigando após a Revolut reportar o incidente. Enquanto isso, o hacker ameaçou divulgar publicamente informações roubadas dos clientes, a menos que um resgate seja pago.