A Revolut confirmou ao BeInCrypto que alguém de fato a enganou para que entregasse arquivos de clientes, que, segundo os próprios avisos da empresa, continham passaportes, selfies e registros de Bitcoin. A empresa chama o episódio de ataque sofisticado. O que descreve é um e-mail.
A mensagem chegou de um domínio de e-mail de uma agência governamental legítima. Ela trazia credenciais válidas do domínio. A Revolut a aceitou como autêntica e enviou os arquivos.
O que a Revolut diz que aconteceu
Um porta-voz da Revolut disse ao BeInCrypto que o banco bloqueou o remetente assim que percebeu o problema.
“A Revolut identificou recentemente um sofisticado ataque externo de falsidade ideológica, no qual um terceiro não autorizado utilizou o e-mail de domínio legítimo de uma agência governamental para enviar solicitações fraudulentas de informações… Os sistemas da Revolut e os fundos dos clientes não foram afetados.”
Siga-nos no X para receber as últimas notícias à medida que acontecem
A empresa afirma que alertou a agência, a polícia e seus órgãos reguladores de proteção de dados e financeiros. Também entrou em contato com o que chama de número limitado de pessoas afetadas.
O que ficou de fora da declaração
A Revolut afirma que as contas continuam seguras. Isso é verdade, mas não é esse o problema.
O banco disse ao BeInCrypto que senhas de acesso, dados de login e dados biométricos nunca foram expostos. Nenhum dinheiro foi movimentado.
Os avisos enviados aos clientes dizem outra coisa. Eles afirmam que a selfie de verificação foi enviada e descartam apenas a telemetria facial biométrica, ou seja, o modelo facial que um sistema cria a partir de uma foto. A própria foto é outra questão.
Esses avisos listam o resto. Passaportes. Cartas de condução. Moradas. Extratos bancários. Um registo completo das entradas e saídas de Bitcoin.
Uma palavra-passe muda-se num minuto. Um passaporte, não.
A Revolut não dirá qual o domínio da agência utilizado, alegando que a investigação policial está em curso. Por isso, ninguém fora da empresa sabe se uma caixa de correio do governo foi pirateada ou se alguém que já tinha acesso carregou em enviar.
O investigador de blockchain ZachXBT, que se dedica a rastrear criptomoedas roubadas, alertou para a fuga de dados, salientando que afetou um pequeno grupo de utilizadores e parecia ter como alvo os mais ricos.
Após violações de segurança, listas de clientes roubadas têm alimentado o risco de phishing. A divulgação de moradas já precedeu ataques violentos contra detentores de criptomoedas.
Há uma segunda forma de interpretar a palavra sofisticado. Segundo a própria Revolut, o atacante escreveu um e-mail e esperou. A parte engenhosa aconteceu dentro de um sistema de correio eletrónico do governo. A parte dispendiosa aconteceu dentro da Revolut.
Fonte: BeInCrypto
