Os atacantes que enganaram a Revolut para que lhes entregasse registos de clientes publicaram, durante o fim de semana, os dados de clientes de destaque e exigiram um resgate de 10.000 bitcoins, avisando a 14 de setembro que divulgariam mais dados todos os dias até a fintech europeia pagar.
A Revolut confirmou, a 12 de setembro, que uma parte não autorizada se fez passar por uma agência governamental e enviou pedidos fraudulentos de informação a partir de um endereço de e-mail no domínio verdadeiro da agência, com autenticação técnica válida. Os funcionários trataram-nos como um pedido jurídico de rotina.
Revolut bloqueia endereço e alerta reguladores
Conforme noticiado pela CryptoPotato, a violação de dados incluiu a divulgação de passaportes, selfies de verificação, extratos de conta e IBANs, além de nomes, datas de nascimento e moradas. Um porta-voz da Revolut afirmou que a empresa «identificou recentemente um sofisticado esquema externo de usurpação de identidade, no qual uma entidade terceira não autorizada utilizou um endereço de e-mail no domínio de uma agência governamental legítima para apresentar pedidos fraudulentos de informação».
O grupo que se autodenomina Revolut Smilik publicou ficheiros de clientes em vários canais do Telegram e avisou que iria «começar a divulgar cada vez mais dados todos os dias até a Revolut pagar por divulgar os dados dos seus clientes».
Segundo o The Register, o material publicado parecia incluir dados de pessoas de destaque, entre elas executivos da empresa, profissionais do desporto e artistas, e o resgate exigido de 10.000 bitcoins ultrapassava os 782 milhões de dólares. A Revolut recusou-se a comentar o resgate.
A empresa afirmou que bloqueou o endereço assim que detectou o incidente e notificou a agência governamental competente, as autoridades policiais e os órgãos reguladores de proteção de dados e do setor financeiro, e que seus sistemas e os fundos dos clientes não foram afetados. A Revolut disse que um número limitado de clientes foi afetado e que entrou em contato diretamente com eles, sem divulgar a quantidade nem identificar a agência comprometida.
A empresa havia afirmado anteriormente que os dados biométricos faciais dos clientes afetados não foram comprometidos. O investigador on-chain ZachXBT, que sinalizou o incidente, disse que ele parecia ter alcance limitado e estar concentrado em usuários de alto patrimônio — uma avaliação que nem a Revolut nem partes independentes confirmaram.
Registros roubados aumentam o risco de phishing
A Revolut permite que os clientes comprem e vendam mais de 90 criptomoedas, e os arquivos roubados incluíam o histórico completo de transações de Bitcoin de alguns clientes. Vazamentos semelhantes alimentaram golpes direcionados a detentores de criptoativos.
A CryptoPotato documentou como criminosos usaram dados de pedidos vazados para enviar e-mails convincentes de phishing a proprietários de dispositivos Ledger após uma violação de segurança separada. Eles usaram uma falsa fusão entre Ledger e Trezor para atraí-los a um site fraudulento que coletava frases de recuperação.
A exigência de resgate à Revolut é mais um caso de violação de segurança em que dados de clientes foram usados como instrumento de pressão contra empresas de criptoativos — assim como aconteceu com a Coinbase, quando uma exigência de resgate levou a corretora a divulgar uma violação que afetou mais de 69.000 clientes, depois que agentes terceirizados de suporte no exterior foram subornados para entregar os registros.
Fonte: CryptoPotato
