A Revolut reconheceu que golpistas obtiveram informações de clientes ao se passarem por funcionários do governo — numa violação que, segundo relatos, envolveu quase 700 pessoas.¹

O engano não se baseou numa invasão da infraestrutura da fintech, mas na credibilidade. Pedidos fraudulentos de informações chegaram de um domínio de e-mail pertencente a uma agência governamental legítima, permitindo que um terceiro não autorizado parecesse oficial. A Revolut descreveu o caso como um “golpe sofisticado de personificação externa”, no qual o atacante usou esse domínio legítimo para apresentar pedidos falsos.²

O material entregue era potencialmente extenso: dados de identidade e contacto, datas de nascimento, endereços postais e de e-mail, números de telefone e cópias de passaportes ou cartas de condução. A notificação da Revolut aos clientes afetados também dizia que selfies de verificação, extratos de conta e históricos de transações podem ter sido incluídos.

Depois de identificar o esquema, a empresa disse que bloqueou o endereço de e-mail, contactou os clientes afetados e alertou a agência relevante, as autoridades policiais e os reguladores. Não revelou publicamente o nome da agência, se um mercado específico foi visado, nem forneceu a sua própria contagem precisa dos afetados.

A principal defesa da Revolut é que o incidente foi um abuso de um canal externo de confiança, e não um comprometimento da sua plataforma: “Os sistemas da Revolut e os fundos dos clientes não foram afetados.” A distinção pode tranquilizar os seus mais de 80 milhões de clientes, mas pouco reduz a exposição daqueles cujos documentos de identidade e registos financeiros podem agora estar nas mãos de criminosos.

A divulgação ocorre enquanto a fintech sediada em Londres se expande internacionalmente e procura uma presença bancária maior, renovando o foco sobre a forma como as empresas verificam exigências aparentemente oficiais por dados de clientes.