Revolut confirma o envio de dados do passaporte e registros de Bitcoin para um e-mail falso do governo
A Revolut confirmou que burlões enganaram a plataforma, levando-a a entregar dados de clientes, incluindo informações que, segundo os próprios avisos da empresa, abrangiam passaportes, selfies de verificação e registos de transações de Bitcoin.
O pedido veio de um domínio de e-mail pertencente a uma agência governamental real e incluía credenciais válidas. A Revolut acreditou que era legítimo e divulgou os dados.
O que a Revolut diz que aconteceu
Um porta-voz da Revolut disse ao BeInCrypto que o banco bloqueou o remetente assim que percebeu o problema.
“A Revolut identificou recentemente um sofisticado ataque externo de falsidade ideológica, no qual um terceiro não autorizado utilizou o e-mail de domínio legítimo de uma agência governamental para enviar solicitações fraudulentas de informações… Os sistemas da Revolut e os fundos dos clientes não foram afetados.”
A empresa afirma que alertou a agência, a polícia e seus órgãos reguladores de proteção de dados e financeiros. Também entrou em contato com o que chama de número limitado de pessoas afetadas.
As contas Revolut são seguras?
A Revolut afirma que as contas continuam seguras. E isso é verdade. Os códigos de acesso, os dados de início de sessão e os dados biométricos nunca foram expostos, disse o banco à BeInCrypto. Não houve movimentação de dinheiro.
Os avisos enviados aos clientes dizem outra coisa. Eles afirmam que a selfie de verificação foi enviada e descartam apenas a telemetria facial biométrica, ou seja, o modelo facial que um sistema cria a partir de uma foto. A própria foto é outra questão.
Esses avisos enumeram os restantes dados: passaportes, cartas de condução, moradas e extratos bancários. Um registo completo de todas as entradas e saídas de Bitcoin.
A Revolut não dirá qual o domínio da agência utilizado, alegando que a investigação policial está em curso. Por isso, ninguém fora da empresa sabe se uma caixa de correio do governo foi pirateada ou se alguém que já tinha acesso carregou em enviar.
O investigador de blockchain ZachXBT, que se dedica a rastrear criptomoedas roubadas, alertou para a fuga de dados, salientando que afetou um pequeno grupo de utilizadores e parecia ter como alvo os mais ricos.
Após violações de segurança, listas de clientes roubadas têm alimentado o risco de phishing. A divulgação de moradas já precedeu ataques violentos contra detentores de criptomoedas.
A Revolut descreveu isto como um ataque sofisticado. Mas, segundo o próprio relato da empresa, o atacante usou um sistema de e-mail governamental legítimo para enviar um pedido fraudulento. A Revolut aceitou o pedido como legítimo e divulgou os dados.
Fonte: BeInCrypto