A Revolut entregou passaportes, selfies e históricos de bitcoin de clientes a um pedido falso de uma entidade pública

A Revolut informou um grupo de clientes de que entregou os seus documentos de identidade, as selfies de verificação, os extratos de conta e o histórico completo de transações, bitcoin incluído, a alguém que os pediu em nome de uma entidade pública. Ninguém arrombou nada. O pedido chegou de uma caixa de correio no domínio real da entidade, passou as verificações que confirmam o domínio do remetente e foi satisfeito "na convicção razoável de que se tratava de um pedido autêntico de uma entidade pública". Os emails de alerta saíram a 11 de setembro de 2026.

O que a Revolut disse aos clientes afetados

O aviso, publicado em captura de ecrã pelo ZachXBT a 12 de setembro, é curto e invulgarmente concreto sobre o que saiu. A Revolut "recebeu um pedido de informação de clientes que parecia vir de uma entidade pública legítima". O pedido "veio de uma conta de email não autorizada, enviado diretamente a partir do domínio de email oficial da entidade". Como "tinha credenciais de autenticação de domínio válidas, foi satisfeito na convicção razoável de que se tratava de um pedido autêntico de uma entidade pública". A empresa diz ter notificado os reguladores competentes e aplicado medidas de proteção preventivas; a sua conta de apoio acrescentou apenas que leva a proteção de dados "muito a sério".

A lista dos dados entregues merece duas leituras. Dados de identidade: nome completo, data de nascimento, profissão. Contactos: morada, email, telefone. Documentos e verificação: uma cópia do passaporte ou da carta de condução e a imagem de verificação facial, a selfie tirada no registo, com a ressalva de que "nenhum dado biométrico de telemetria facial" esteve envolvido. Dados financeiros: extratos com IBAN, estado da conta, data de abertura e número de referência da carteira, registos de levantamentos e histórico completo de transações, bitcoin incluído. O aviso enumera categorias que podem ter sido divulgadas, não um inventário por cliente, e não menciona palavras-passe, números de cartão nem chaves privadas.

Como um pedido falso passa as verificações

A expressão "credenciais de autenticação de domínio válidas" explica a falha melhor do que a Revolut provavelmente pretendia. A autenticação de email, ou seja, os registos SPF, DKIM e DMARC que os servidores verificam, prova que uma mensagem veio mesmo do domínio que declara. Não prova nada sobre quem estava ao teclado. Se o remetente usou uma conta no domínio real da entidade, todas as verificações técnicas passam, porque tecnicamente o email é autêntico. Resta apenas a defesa processual: ligar de volta à entidade para um número conhecido, exigir uma ordem judicial ou um formulário assinado, recusar considerar um email suficiente para entregar um passaporte e um livro-razão completo.

O truque não é novo. Em 2022 soube-se que a Apple e a Meta tinham entregado dados de utilizadores a criminosos que enviavam pedidos de emergência falsos a partir de contas de email pirateadas de forças policiais. Esses pedidos funcionavam porque pareciam urgentes e chegavam do domínio certo, as mesmas duas propriedades visíveis aqui. O que mudou foi o espólio. Uma rede social guarda um endereço IP e um número de telefone. Uma fintech regulada guarda o dossiê completo de conhecimento do cliente, exatamente o conjunto de documentos que permite abrir contas, passar verificações e convencer uma operadora a transferir um número.

O que este dossiê permite

Junte as categorias e o destinatário tem o que um ataque dirigido precisa. Nome, data de nascimento, morada e cópia do documento chegam para roubo de identidade e para passar a verificação de muitos prestadores. Número de telefone mais documentos de identidade é o kit inicial de um SIM swap, e um SIM swap é a forma de os códigos de dois fatores enviados por SMS irem parar a outra pessoa. O histórico de transações, com levantamentos de bitcoin para carteiras concretas, diz ao destinatário quem detém cripto, quanto se moveu e para onde, e é por isso que a observação do ZachXBT sobre utilizadores com património elevado importa: os mesmos dados que permitem a fraude online permitem também aparecer numa morada. A Revolut não foi a única empresa a entregar dados bancários e cripto este mês; é a primeira a fazê-lo por um pedido que se revelou falso.

Se recebeu o email

1. Verifique apenas através da aplicação. As próprias orientações da Revolut dizem para usar o chat de apoio na app para confirmar se um contacto é genuíno; espere chamadas e mensagens de pessoas que agora sabem o seu nome, o seu banco e o seu saldo e se farão passar pela Revolut, pela polícia ou pelo fisco.
2. Bloqueie o seu número de telefone. Peça à operadora um PIN para portabilidade e troca de SIM e retire os códigos de dois fatores do SMS sempre que o serviço aceite uma app de autenticação ou uma chave física.
3. Assuma que a cópia do documento saiu para sempre. Pergunte à autoridade emissora se o passaporte ou a carta podem ser reemitidos com novo número; onde não for possível, o recurso é um alerta de fraude ou um bloqueio de crédito nas centrais do seu país.
4. Trate cada exchange e cada carteira ligada ao histórico divulgado como um alvo conhecido. Mude palavras-passe, reveja as listas brancas de levantamento e os alertas de início de sessão, e pondere se os fundos num endereço agora ligado ao seu nome devem continuar lá.
5. Peça à Revolut, por escrito, o registo completo: o que foi enviado, quando, a quem e que regulador foi notificado. A legislação de proteção de dados do Reino Unido e da UE dá-lhe esse direito, e a resposta determina o que mais precisa de fazer.