Um ataque sofisticado com cara de documento oficial
A Revolut, fintech britânica com operação em mais de 30 países, confirmou que dados pessoais de clientes foram expostos em uma violação causada por um golpe de engenharia social elaborado: terceiros não autorizados usaram domínios reais de agências governamentais para enviar requisições fraudulentas de dados à empresa.
A informação foi divulgada pelo TechCrunch em 12 de setembro de 2026, e representa um caso relevante tanto pela sofisticação do método quanto pelo tipo de informação comprometida. Documentos de identidade, selfies de verificação, extratos bancários e históricos de transações estão entre os dados potencialmente expostos.
Como o ataque funcionou
A Revolut descreveu o incidente como “um golpe de personificação externa sofisticado”. Os atacantes não invadiram sistemas diretamente, nem utilizaram credenciais roubadas para acessar servidores da empresa. Em vez disso, enviaram requisições de dados usando domínios de e-mail legítimos pertencentes a agências governamentais, enganando os sistemas ou funcionários responsáveis por atender solicitações oficiais.
Esse tipo de ataque explora um ponto de vulnerabilidade específico: empresas financeiras são obrigadas por lei a atender requisições de autoridades. Ao simular esse tipo de pedido com credenciais aparentemente reais, os atacantes contornaram barreiras tecnológicas usando a própria estrutura legal como vetor de acesso.
O método é chamado de “abuso de processo legal” e vem crescendo como técnica preferida de grupos que buscam dados pessoais de alvos específicos ou de bases maiores de usuários. Diferentemente de ataques de força bruta ou exploração de vulnerabilidades técnicas, essa abordagem depende de persuasão e manipulação de processos, tornando-a muito mais difícil de detectar e bloquear de forma automatizada.
Quais dados foram expostos
A lista de informações comprometidas é extensa e, em muitos casos, bastante sensível:
- Dados de identidade e contato: data de nascimento, endereço postal, e-mail e número de telefone.
- Documentos oficiais: cópias de passaportes e carteiras de habilitação.
- Selfies de verificação: fotos tiradas pelos próprios clientes durante o processo de cadastro.
- Extratos bancários e histórico de transações.
A combinação desses dados cria um perfil altamente detalhado de cada pessoa afetada. Documentos de identidade somados a selfies e dados financeiros são exatamente o conjunto que golpistas precisam para aplicar fraudes de identidade, abrir contas em nome de terceiros ou realizar outras ações ilícitas.
Quantos clientes foram afetados
A Revolut confirmou que o número de clientes afetados é “limitado”, mas recusou divulgar um número específico. A empresa também não indicou quais países concentram os usuários expostos, o que torna difícil para clientes individuais saberem se estão entre os afetados.
Essa falta de transparência é um problema em si. Regulamentos de proteção de dados em vigor em vários países, incluindo a LGPD no Brasil e o GDPR na Europa, exigem que empresas notifiquem os titulares de dados quando suas informações forem comprometidas. Se a Revolut não identificou e contactou individualmente os afetados, pode estar descumprindo essas obrigações legais.
O que clientes da Revolut no Brasil devem fazer
A Revolut opera no Brasil desde 2023, oferecendo conta digital, cartão internacional e serviços de câmbio. Embora a empresa não tenha especificado se clientes brasileiros estão entre os afetados, a prudência recomenda algumas ações imediatas.
Em primeiro lugar, monitore os extratos da conta com atenção redobrada nas próximas semanas. Transações não reconhecidas devem ser reportadas imediatamente ao suporte da Revolut e, dependendo da gravidade, ao banco emissor do cartão vinculado.
Em segundo lugar, fique atento a tentativas de phishing. Com dados como e-mail, telefone e nome completo em mãos, golpistas podem enviar mensagens que parecem comunicações oficiais da Revolut ou de outras instituições financeiras. Nunca clique em links recebidos por e-mail ou SMS sem verificar a autenticidade da mensagem diretamente no aplicativo ou site oficial.
Em terceiro lugar, se você enviou cópia de documento e selfie de verificação para a Revolut, considere que essas imagens podem ter sido comprometidas. Documentos como passaporte e CNH não podem ser substituídos imediatamente, mas você pode registrar um boletim de ocorrência preventivo e monitorar eventuais tentativas de abertura de crédito em seu nome.
Por que esse tipo de ataque é tão preocupante
Empresas de tecnologia e fintechs investem dezenas de milhões de dólares em segurança técnica: criptografia, autenticação em múltiplos fatores, detecção de anomalias, firewalls e equipes de resposta a incidentes. Esses investimentos são reais e relevantes.
O problema é que ataques de engenharia social, especialmente aqueles que exploram processos legais, contornam boa parte dessas defesas técnicas. Se um atacante consegue um domínio de e-mail de uma agência governamental legítima e conhece o formato de uma requisição oficial, pode enganar até sistemas bem protegidos.
Isso coloca uma pressão enorme sobre os processos internos das empresas, e não apenas sobre seus sistemas técnicos. Treinar equipes para verificar a autenticidade de requisições legais, criar protocolos de dupla confirmação para pedidos que envolvem grandes volumes de dados sensíveis e manter canais diretos com autoridades para confirmar pedidos suspeitos são medidas que muitas empresas ainda não implementam de forma sistemática.
Um padrão preocupante no setor
O caso da Revolut não é isolado. Nos últimos anos, ataques similares foram documentados contra empresas como Meta, Apple e Snapchat, todas enganadas por requisições governamentais falsas elaboradas por grupos criminosos organizados. O método está se tornando mais comum exatamente porque funciona.
Enquanto empresas fortalecem defesas técnicas, atacantes migram para vetores que dependem de manipulação humana e exploração de processos legítimos. É o equivalente digital de conseguir entrar em um prédio seguro não pela porta blindada, mas pela porta de serviço, com um uniforme de entregador convincente.
Para o usuário de serviços financeiros digitais, o ensinamento mais importante é que segurança digital não depende apenas das empresas onde você tem conta. Cada dado compartilhado, de documentos a selfies de verificação, pode ser comprometido em ataques que estão além do seu controle direto. Diversificar onde você mantém dados sensíveis e manter monitoramento ativo das suas informações financeiras são práticas cada vez mais necessárias no ambiente digital atual.
O crescimento do modelo de conta digital no Brasil torna esse tipo de alerta ainda mais relevante. A comodidade das fintechs tem um custo que muitos usuários desconhecem: ao centralizar documentos, dados bancários e histórico de transações em uma única plataforma digital, cria-se um perfil completo que, em caso de violação, oferece tudo que um golpista precisa para agir.
Fonte: TechCrunch
