Revolut expôs dados de clientes após golpe sofisticado
Fintech britânica entregou passaportes e dados pessoais de clientes a golpistas que usaram e-mail legítimo de órgão público. Caso levanta dúvidas sobre segurança no setor.
A Revolut, uma das maiores fintechs do mundo com mais de 80 milhões de clientes, confirmou ter entregado dados sensíveis de usuários a um terceiro não autorizado. O incidente aconteceu após a empresa receber solicitações fraudulentas enviadas a partir de um domínio de e-mail legítimo de uma agência governamental.
Entre as informações expostas estão documentos de identidade, passaportes, carteiras de motorista, endereços postais e de e-mail, datas de nascimento, números de telefone, selfies de verificação, extratos de conta e históricos de transações. A empresa disse que um número “limitado” de clientes foi afetado, mas não revelou a cifra exata nem o órgão governamental envolvido.
Como o golpe contra a Revolut funcionou
A dinâmica do ataque é o que torna o caso mais preocupante do que um vazamento comum. Os golpistas não invadiram os sistemas da Revolut. Não houve brecha técnica, malware ou exploração de vulnerabilidade de software. O que houve foi engenharia social de alto nível: alguém conseguiu enviar pedidos de informação usando um endereço de e-mail real de uma agência governamental.
Fintechs e bancos recebem rotineiramente solicitações de dados de órgãos públicos, seja para investigações criminais, fiscais ou de compliance. A Revolut, ao que tudo indica, tratou os pedidos como legítimos e entregou as informações solicitadas. Só percebeu a fraude depois.
Após identificar o golpe, a empresa bloqueou o endereço de e-mail, notificou a agência governamental real, as autoridades policiais e os reguladores competentes. Em nota, a Revolut afirmou que “seus sistemas e os fundos dos clientes não foram afetados”. Isso é verdade no sentido estrito: não houve invasão de infraestrutura. Mas os dados pessoais, esses sim, foram comprometidos.
Quem foi atingido e por que isso importa
O pesquisador de segurança cripto ZachXBT, conhecido por investigar fraudes no setor, publicou informações sobre o e-mail que a Revolut enviou aos clientes afetados. Segundo ele, o ataque parece ter sido direcionado a usuários de alto patrimônio.
Esse detalhe muda o enquadramento do caso. Se os golpistas tiveram acesso a históricos de transações e saldos de conta de clientes ricos, o vazamento se torna matéria-prima para ataques subsequentes: phishing personalizado, tentativas de sequestro, extorsão e até fraudes envolvendo criptomoedas, dado que parte da base da Revolut opera com ativos digitais.
Para quem investe e usa fintechs como conta principal, o episódio serve de alerta. A sofisticação do ataque mostra que nem sempre a falha está nos sistemas tecnológicos. O elo mais fraco pode ser o processo operacional, a camada humana que decide se um pedido de dados é legítimo ou não.
Revolut em momento delicado: IPO e expansão global
O vazamento chega em um momento particularmente sensível para a Revolut. A fintech com sede em Londres está em plena expansão, tendo recentemente conquistado licenças bancárias na França e no Reino Unido. No início deste mês, o Office of the Comptroller of the Currency dos Estados Unidos concedeu aprovação condicional para a empresa estabelecer um banco nacional no país, com lançamento previsto para o primeiro semestre de 2027.
Além disso, a Revolut estaria avaliando uma possível abertura de capital que poderia alcançar uma avaliação de até 200 bilhões de dólares, um salto expressivo frente à avaliação privada de 75 bilhões de dólares registrada em novembro. A empresa também ampliou sua presença em mercados como Índia, México e Emirados Árabes Unidos.
Um incidente de segurança envolvendo dados de clientes, ainda que limitado em escala, pode complicar essa trajetória. Reguladores tendem a examinar com mais rigor empresas que demonstram falhas em seus controles internos, especialmente quando o assunto é proteção de dados pessoais. Para uma companhia que quer ser banco em dezenas de países, a confiança do sistema regulatório é tão importante quanto a confiança do cliente.
O que o caso revela sobre a segurança das fintechs
O episódio da Revolut não é isolado. Nos últimos anos, ataques de engenharia social contra instituições financeiras se tornaram mais frequentes e sofisticados. Em vez de tentar quebrar firewalls, os atacantes exploram processos internos, confiança institucional e comunicação entre empresas e governos.
Para o consumidor, a lição prática é direta. Diversificar onde seus dados sensíveis estão armazenados reduz o risco de exposição total. Ativar autenticação em dois fatores, monitorar movimentações e desconfiar de contatos inesperados que mencionem dados pessoais são medidas básicas, mas ainda subutilizadas.
No plano regulatório, casos como esse reforçam a necessidade de protocolos mais rígidos para verificação de solicitações governamentais. Se um e-mail com domínio legítimo foi suficiente para a Revolut liberar passaportes e históricos financeiros, o processo de validação claramente precisa de camadas adicionais de confirmação, como assinaturas digitais, canais dedicados e verificação por múltiplos pontos de contato.
O setor de tecnologia financeira cresce rápido. Com a expansão, cresce também a superfície de ataque. E como o caso da Revolut mostra, nem sempre é a tecnologia que falha. Às vezes, basta um e-mail bem escrito.
Este conteúdo é informativo e educacional e não constitui recomendação de investimento. Rentabilidade passada não é garantia de resultados futuros.
