Revolut confirma que e-mail falso fez vazar passaportes e dados de Bitcoin
O ataque atingiu um grupo limitado de clientes e afetou sobretudo dados de identidade e de transações em Bitcoin. A Revolut afirma que os sistemas e os saldos dos clientes não foram afetados.
Pontos principais
- A Revolut confirma que um atacante solicitou ficheiros de clientes através de uma mensagem falsa, incluindo passaportes, selfies e registos de Bitcoin.
- A empresa afirma que os sistemas, os saldos dos clientes, os códigos de acesso, os dados de início de sessão e os dados biométricos não foram afetados.
- A Revolut informou os clientes envolvidos, as autoridades e os reguladores, enquanto decorre a investigação policial sobre o domínio governamental utilizado.
A Revolut confirmou que um atacante conseguiu solicitar ficheiros de clientes através de uma mensagem falsa, incluindo passaportes, selfies e registos de Bitcoin. Segundo a empresa, tratou-se de um ataque sofisticado, mas, no essencial, começou com um e-mail que parecia provir de um domínio governamental real. A Revolut afirma que bloqueou imediatamente o remetente depois de o problema ter sido descoberto.
O e-mail falso parecia real
Segundo a Revolut, uma terceira parte não autorizada utilizou um endereço de e-mail com aspeto legítimo de uma entidade governamental para apresentar pedidos fraudulentos. A empresa afirma que os seus sistemas e os saldos dos clientes não foram afetados. Também os códigos de acesso, os dados de início de sessão e os dados biométricos não terão sido expostos.
Ainda assim, as notificações enviadas aos clientes mostram um quadro mais amplo. Estas incluem, entre outros, passaportes, cartas de condução, moradas de residência, extratos bancários e uma visão completa das transações em Bitcoin. A Revolut não quer dizer qual o domínio governamental utilizado, porque ainda decorre uma investigação policial.
O que exatamente vazou
O banco afirma que apenas um grupo limitado de clientes foi afetado e que informou as pessoas envolvidas. Também as autoridades, a polícia e os reguladores em matéria de proteção de dados e finanças foram informados. O investigador de blockchain ZachXBT chamou anteriormente a atenção para as fugas e disse que se tratava de um pequeno grupo de utilizadores, possivelmente com clientes de elevado património em foco.
O caso enquadra-se numa vaga mais ampla de fraude por e-mail e ataques de impersonação. A Microsoft observou, por exemplo, no início de 2026 um forte aumento de ataques de business email compromise, um tipo de fraude em que os criminosos se fazem passar por uma parte de confiança para obter informações. Também os reguladores e as empresas de cibersegurança alertam para o facto de estes ataques estarem cada vez mais associados a engenharia social e credenciais roubadas.
Também noutras empresas de criptomoedas se percebe como os dados de identidade são sensíveis. Os sistemas KYC e de identificação continuam a ser um alvo atrativo, precisamente porque estes processos revelam muito mais do que apenas uma palavra-passe.
Porque é que isto afeta a criptomoeda
Para os utilizadores de criptomoedas, isto é especialmente relevante porque os dados de identidade e o histórico de transações muitas vezes bastam para phishing direcionado. Uma palavra-passe pode ser alterada, mas um número de passaporte ou uma morada de residência não. Precisamente nas criptomoedas, onde os montantes e a posse por vezes são visíveis ou dedutíveis, uma fuga de dados destas pode ser ainda mais sensível para fraude subsequente.
