Revolut expôs dados de clientes após fraude governamental
Fintech britânica entregou passaportes e dados pessoais a terceiros que usaram domínio oficial de governo para enganar a empresa. Entenda o risco.
A Revolut, fintech britânica com mais de 80 milhões de clientes no mundo, confirmou que entregou dados sensíveis de usuários a um terceiro não autorizado. O motivo: a empresa recebeu solicitações fraudulentas enviadas a partir de um domínio de e-mail legítimo de uma agência governamental e as tratou como requisições reais.
O episódio levanta questões importantes sobre a resiliência dos processos internos de verificação em fintechs que operam em dezenas de países. E chega num momento particularmente delicado para a Revolut, que negocia uma possível abertura de capital com valuation estimado em até 200 bilhões de dólares.
O que a Revolut entregou aos fraudadores
De acordo com a notificação enviada aos clientes afetados, os dados expostos incluem informações de identidade e contato como data de nascimento, endereço postal, e-mail e número de telefone. Mas o problema vai além do básico.
A fintech também compartilhou cópias de documentos de identidade, incluindo passaportes e carteiras de motorista. Em alguns casos, os dados podem ter incluído selfies de verificação, extratos de conta e históricos de transações. É, em termos práticos, o pacote completo para fraudes de identidade sofisticadas.
A empresa afirmou que um número “limitado” de clientes foi impactado, mas se recusou a divulgar a cifra exata. Também não revelou em qual mercado o incidente ocorreu nem qual agência governamental teve seu domínio utilizado na fraude. Um pesquisador de segurança especializado em cripto, conhecido como ZachXBT, apontou que o ataque parece ter sido direcionado a usuários de alto patrimônio.
Engenharia social sofisticada, não invasão de sistemas
O ponto mais relevante desse caso não é uma falha tecnológica nos sistemas da Revolut. A empresa fez questão de ressaltar que seus sistemas e os fundos dos clientes não foram comprometidos. O problema foi humano e processual.
A técnica utilizada é conhecida como engenharia social institucional. Criminosos conseguiram acesso a um domínio de e-mail legítimo de uma agência de governo e enviaram pedidos de informações que, na superfície, pareciam completamente autênticos. A Revolut processou essas solicitações como se fossem requisições oficiais válidas, algo que fintechs e bancos fazem rotineiramente em resposta a ordens judiciais, investigações regulatórias e pedidos de cooperação internacional.
Esse tipo de ataque vem se tornando mais frequente no setor financeiro global. Como discutimos em nossa cobertura de cibersegurança, a sofisticação dos vetores de ataque evoluiu mais rápido do que os protocolos de verificação de muitas instituições. Em 2024, o FBI já havia alertado sobre o aumento de “emergency data requests” fraudulentas enviadas a empresas de tecnologia usando credenciais governamentais comprometidas.
A questão central é: como uma fintech que processa requisições de governos em mais de 30 países valida a autenticidade de cada pedido? A resposta, evidentemente, é que os processos atuais têm lacunas.
O timing é péssimo para a Revolut
O incidente acontece em um momento de máxima exposição para a fintech londrina. A Revolut está nos estágios finais de avaliação de um IPO que, segundo estimativas de mercado, poderia avaliá-la em até 200 bilhões de dólares. Em novembro do ano passado, sua avaliação privada já havia atingido 75 bilhões de dólares.
Paralelamente, a empresa vem expandindo sua presença bancária de forma agressiva. Obteve licenças bancárias na França e no Reino Unido nos últimos meses. No início deste mês, a OCC (Office of the Comptroller of the Currency) dos Estados Unidos concedeu aprovação condicional para a Revolut estabelecer um banco nacional no país, com lançamento previsto para o primeiro semestre de 2027.
Para investidores institucionais avaliando um possível IPO, incidentes de segurança de dados são um sinal de alerta significativo. Como analisamos em nossa seção de finanças, o histórico de compliance e proteção de dados tem peso crescente na precificação de fintechs em processos de abertura de capital. A Nubank, por exemplo, enfrentou escrutínio semelhante antes de seu IPO em 2021.
O que isso significa para o setor de fintechs
O caso da Revolut expõe uma vulnerabilidade sistêmica que não é exclusiva da empresa britânica. Qualquer instituição financeira que responde a solicitações governamentais de dados está sujeita ao mesmo vetor de ataque se não adotar camadas adicionais de verificação.
Algumas medidas que especialistas em segurança recomendam incluem verificação por canal secundário (como ligação para número oficial da agência), autenticação multifator para solicitações de dados sensíveis e limites no volume de informações compartilhadas por requisição. A tendência é que reguladores europeus e americanos passem a exigir protocolos mais rígidos, especialmente após episódios como este.
Para o usuário final, a lição prática é direta. Se você é cliente da Revolut, especialmente com patrimônio relevante na plataforma, vale monitorar atividades suspeitas e considerar a troca de documentos de identidade caso tenha sido notificado pela empresa. Dados como cópias de passaporte e selfies de verificação têm valor permanente para fraudadores, ao contrário de senhas, que podem ser trocadas com um clique.
O setor de fintechs cresceu oferecendo experiência superior ao usuário. Mas como a evolução das ameaças cibernéticas tem mostrado, a próxima fronteira competitiva pode ser justamente a capacidade de proteger dados em cenários onde a engenharia social supera as barreiras tecnológicas tradicionais.
Este conteúdo é informativo e educacional e não constitui recomendação de investimento. Rentabilidade passada não é garantia de resultados futuros.
