Revolut expôs dados de passaportes e registros de Bitcoin após falso pedido governamental, diz relatório

O investigador on-chain ZachXBT revelou hoje mais cedo que a Revolut havia divulgado informações pessoais e financeiras altamente confidenciais de determinados clientes após receber o que parecia ser uma solicitação legítima do governo.

A empresa enviou e-mails aos usuários afetados, admitindo que os registros expostos incluíam passaportes, selfies de verificação, endereços e o histórico completo de transações em Bitcoin.

O que foi exposto

No e-mail enviado aos clientes e divulgado por ZachXBT em sua página no Telegram, a Revolut explicou que recebeu uma solicitação de informações que parecia ter se originado de uma agência governamental legítima. O remetente não estava simplesmente falsificando um endereço que parecia oficial. A solicitação veio de uma conta de e-mail não autorizada que usava o domínio de e-mail verdadeiro da agência governamental e contava com credenciais válidas de autenticação de domínio, acrescentou a empresa.

A Revolut atendeu à solicitação por acreditar que ela era legítima. As informações divulgadas poderiam incluir nomes completos, datas de nascimento, profissões, endereços residenciais, endereços de e-mail e números de telefone de determinados clientes. Os dados mais confidenciais incluíam cópias de passaportes e/ou carteiras de motorista, além das selfies que os clientes haviam enviado durante o processo de verificação. A boa notícia, segundo a empresa, é que os dados biométricos faciais em si não foram comprometidos.

No entanto, a empresa afirmou que forneceu informações financeiras, incluindo extratos de conta com IBANs, datas de abertura das contas e números de referência de carteiras, além de registros de saques e o histórico completo de transações, incluindo transações em BTC.

Até o momento, a Revolut não identificou publicamente a agência governamental envolvida, e o aviso enviado aos clientes não informa se senhas, chaves privadas ou fundos foram acessados.

Contra os ricos?

O investigador de blockchain descreveu o incidente como “provavelmente limitado em escala”, já que parecia que os responsáveis haviam se concentrado apenas em usuários de alto patrimônio. No entanto, isso não foi confirmado nem de forma independente nem pela própria Revolut. Além disso, a empresa não divulgou o número real de clientes afetados.

Com base nas informações disponíveis até o fechamento desta edição, o incidente parece ter sido uma divulgação não autorizada, e não uma violação direta da infraestrutura da Revolut. A própria empresa orienta órgãos governamentais e autoridades policiais a enviar solicitações oficiais de informações por meio de um canal específico.

Fonte: CryptoPotato