Atacantes usaram caixas de e-mail governamentais italianas comprometidas para enviar solicitações oficiais fraudulentas à Revolut, contribuindo para um vazamento que pode ter afetado cerca de 680 clientes, informaram o Financial Times e o International Cyber Digest em setembro de 2026. O ataque relatado visou o canal que instituições financeiras utilizam para interagir com órgãos governamentais, e não o aplicativo da Revolut, e advogados e defensores de direitos civis afirmaram que ele expôs uma fragilidade sistêmica na verificação de solicitações oficiais.
O International Cyber Digest disse que pessoas que alegaram responsabilidade informaram que a operação contra a Revolut durou seis meses e que também comprometeram diversos departamentos policiais italianos. A Revolut não confirmou todos os números e detalhes publicados por pesquisadores ou pelos supostos atacantes.
Max Karpis, investidor inicial da Revolut e analista independente, disse que a empresa recebeu exigências de resgate e que pessoas que alegavam possuir os arquivos roubados estavam publicando documentos de identidade e selfies de clientes no Telegram. Karpis alertou que a Revolut não confirmou uma alegação em circulação envolvendo 10.000 BTC e disse que a empresa continuava a descrever o incidente como limitado, sem que seu aplicativo ou os fundos dos clientes tivessem sido hackeados.
Pesquisadores descrevem solicitações fraudulentas de dados
Um usuário do X que opera sob o nome Korra relatou, citando a Duel, que um atacante usando o pseudônimo IAmNotAVillain empregou uma estratégia de “disparar para todo lado e rezar”. O atacante teria enviado à Revolut centenas de IDs de transações de criptomoedas e endereços de depósito, solicitando detalhes sobre as contas associadas.
A Duel afirmou que as solicitações foram apresentadas como uma Ordem Europeia de Investigação falsificada e que a Revolut teria respondido com arquivos contendo dados de clientes. Pesquisadores disseram ter obtido e verificado cópias autênticas de e-mails no formato .eml. Um e-mail continha 10 pastas, cada uma correspondente a um cliente separado, com fotografias de documentos de identidade, selfies de verificação, informações de conta e dados de transações sem tarjas, segundo a Duel. A senha do arquivo ZIP criptografado teria sido enviada em um e-mail separado.
Pesquisadores disseram que o método poderia ter permitido ao atacante mirar clientes ricos porque blockchains públicas exibem endereços e transações. Uma transação de criptomoeda poderia, portanto, servir como chave de busca em uma solicitação a uma instituição financeira centralizada. Eles alegaram que o atacante apresentou centenas de hashes de transações e endereços de depósito que se acreditava estarem associados a clientes com elevados ativos e que a Revolut retornou informações sobre os usuários correspondentes.
Pesquisadores e pessoas que alegam ter mantido contato com os atacantes divulgaram separadamente alegações de que 147 GB de dados foram roubados de sistemas governamentais italianos. Essas fontes também fizeram alegações sobre a publicação de dados de clientes, mas a Revolut não confirmou todos esses detalhes.
Documentos indicam recusa por jurisdição
Lyudmyla Kozlovska, defensora de direitos humanos e presidente da Open Dialogue Foundation, disse que documentos mostravam que a Revolut se recusou, em 24 de julho de 2026, a divulgar informações diretamente em resposta a uma solicitação que abrangia 198 hashes. Ela afirmou que 169 estavam vinculados à Revolut Ltd no Reino Unido e 29 à sua entidade jurídica suíça.
Segundo Kozlovska, a Revolut invocou uma limitação jurisdicional porque a solicitação abrangia apenas contas da Revolut Bank UAB na Lituânia. Em outros casos, o solicitante foi orientado a utilizar o procedimento britânico de assistência jurídica mútua.
Kozlovska afirmou que as regras europeias de combate à lavagem de dinheiro não impõem uma obrigação separada a um banco de verificar a verdadeira parte por trás de uma solicitação governamental autenticada. “A legislação AML da UE não impõe qualquer dever de verificação ao banco e não prevê nenhum mecanismo significativo para verificar quem realmente está por trás de uma solicitação estatal autenticada. A recusa em responder acarreta multas de milhões”, disse ela.
Orientações de segurança e preocupações de política pública
Karpis aconselhou clientes potencialmente afetados a congelar linhas de crédito quando possível, definir um novo código de acesso ao aplicativo, ativar alertas de transações com cartão e evitar interagir com pessoas que já conheçam seu IBAN ou transações anteriores de criptomoedas. Ele também sugeriu considerar a substituição do passaporte onde regras locais permitam o cancelamento de um número de documento comprometido e alertou que ofertas para “excluir o arquivo” mediante pagamento poderiam constituir outra tentativa de extorsão.
Kozlovska instou cidadãos europeus a pedir aos membros do Parlamento Europeu audiências urgentes sobre o uso da coleta massiva de dados financeiros como ferramenta de ataque. Ela disse que riscos semelhantes poderiam afetar bancos, corretoras de criptomoedas e serviços de pagamento em jurisdições regidas pelas regras da Financial Action Task Force e leis relacionadas de combate à lavagem de dinheiro.
Ela afirmou que organizações de direitos humanos, vítimas e especialistas, com apoio da Open Dialogue Foundation, haviam levantado a questão perante o Parlamento Europeu. Kozlovska acrescentou que uma resolução do Parlamento Europeu datada de 18 de junho de 2026 identificou separadamente o risco de repressão financeira transnacional.
Até a publicação do artigo de origem, a Revolut não havia publicado orientações separadas no X para clientes que respondiam ao incidente. A empresa recebeu recentemente aprovação condicional para estabelecer um banco nacional nos Estados Unidos.
Fonte: HODL Press
