A Revolut afirmou ter identificado recentemente um esquema de fraude no qual um terceiro não autorizado utilizou um endereço de e-mail de um domínio legítimo de uma agência governamental para apresentar pedidos fraudulentos de informação.

A empresa de tecnologia financeira afirmou que o incidente afetou um número limitado de clientes, enquanto o investigador onchain ZachXBT disse que os dados divulgados podem ter incluído documentos de identidade, extratos bancários e históricos completos de transações, incluindo transferências de bitcoin.

A Revolut afirmou que os seus sistemas e os fundos dos clientes não foram afetados e que os dados biométricos obtidos por meio de análise facial não foram comprometidos.

Revolut confirma divulgação

A Revolut confirmou a divulgação em comentário reportado pela TechCrunch. A empresa afirmou ter descoberto um “sofisticado esquema externo de fraude por falsificação de identidade” envolvendo um endereço de e-mail de um domínio legítimo de uma agência governamental.

“A Revolut identificou recentemente um sofisticado golpe externo de falsificação de identidade, no qual um terceiro não autorizado utilizou um e-mail de domínio de uma agência governamental legítima para apresentar pedidos fraudulentos de informação”, disse um porta-voz da empresa.

A Revolut não divulgou o número de clientes afetados, o país em que o incidente ocorreu nem a agência governamental cujo domínio foi utilizado. A empresa afirmou ter contactado diretamente os clientes afetados, bloqueado o endereço de e-mail em questão e notificado a agência governamental, as autoridades policiais e os reguladores relevantes.

“Os sistemas da Revolut e os fundos dos clientes não foram afetados”, disse o porta-voz.

Dados potencialmente divulgados

ZachXBT, que reportou o incidente, disse que a Revolut aparentemente não reconheceu o pedido como fraudulento porque ele partiu de um domínio legítimo de uma agência governamental. Segundo ZachXBT, o pedido foi atendido sob a suposição de que provinha de um órgão governamental genuíno.

ZachXBT disse que as informações potencialmente divulgadas incluíam os nomes completos dos clientes, datas de nascimento, profissões, endereços residenciais para correspondência, endereços de e-mail e números de telefone. Os dados também podem ter incluído cópias de passaportes ou cartas de condução, selfies de verificação, registos de levantamentos e extratos bancários contendo IBANs, estado das contas, datas de abertura e números de carteira.

Históricos completos de transações, incluindo atividade em bitcoin, também podem ter sido divulgados, disse ZachXBT. A Revolut afirmou que as informações biométricas recolhidas durante a análise facial não foram comprometidas.

ZachXBT descreveu o incidente como um ataque potencialmente direcionado contra clientes de elevado património, mas estimou que o número de utilizadores afetados continuava limitado. Segundo ZachXBT, vários clientes receberam e-mails de alerta da Revolut.

Clientes e figuras do setor reagem

O incidente provocou críticas à Revolut no X. O cofundador da Aave, Mark Zeller, disse que a exposição dos seus dados foi mais um lembrete de que os procedimentos de know-your-customer criaram riscos adicionais sem proporcionar benefícios significativos. Zeller afirmou que a Revolut lhe tinha exigido recentemente uma quantidade substancial de informações pessoais, ameaçando encerrar a sua conta no prazo de 20 dias, e que os atacantes depois conseguiram explorar o mecanismo de pedidos de informação.

O cliente Nikhil Foster disse ter recebido uma notificação informando que os dados divulgados incluíam uma cópia do seu passaporte, uma selfie e o seu histórico completo de transações. Ele observou que os seus “dados biométricos faciais” supostamente não foram comprometidos. Outro utilizador, Charles Reed, disse ter descoberto que os seus próprios dados tinham sido expostos por meio de reportagens sobre o incidente.

O especialista financeiro Austin Campbell disse que bancos e reguladores “estão profundamente despreparados” para a fraude moderna. Campbell afirmou que a divulgação poderia expor a Revolut a riscos jurídicos significativos e fornecer aos criminosos mais uma ferramenta para ataques.

O cofundador e CEO da Helius, Mert Mumtaz, disse que tais divulgações podem levar a roubos em residências e perdas de milhões. Na sua opinião, se os requisitos de KYC forem mantidos, a verificação deve ser conduzida exclusivamente por meio da tecnologia de provas de conhecimento zero já disponível.

Expansão da Revolut

O incidente ocorre enquanto a Revolut expande os seus serviços financeiros e de criptomoedas. A empresa prepara uma venda secundária de ações que poderia avaliá-la em cerca de US$ 115 bilhões e está a desenvolver os seus próprios produtos de ativos digitais.

O investidor inicial da Revolut Max Karpis afirmou anteriormente que cerca de 80% dos relatórios de transações suspeitas na Lituânia vinham do Revolut Bank. A empresa também lançou a EURR, a sua primeira stablecoin denominada em euros. A Revolut afirmou que a EURR está em conformidade com o regulamento Markets in Crypto-Assets da União Europeia e que planeia expandir a sua gama de stablecoins ao longo do tempo.

Fonte: HODL Press