A Revolut confirmou que informações sensíveis de clientes foram divulgadas a um terceiro não autorizado após a empresa receber pedidos fraudulentos vindos do domínio legítimo de e-mail de uma agência governamental. O incidente explorou a autoridade aparente de um canal externo, e não uma invasão informada dos sistemas centrais da Revolut.
A companhia descreveu o grupo afetado como um número muito limitado de clientes e disse que todos foram notificados. Não revelou uma contagem exata, portanto o alcance não deve ser convertido em um número maior ou mais preciso sem confirmação adicional.
As informações expostas incluiriam datas de nascimento, endereços postais e eletrônicos, telefones e cópias de documentos de identidade, como passaportes e carteiras de motorista. Essas categorias podem facilitar falsidade ideológica e ataques direcionados mesmo sem acesso aos fundos.
A Revolut afirmou que seus sistemas e o dinheiro dos clientes não foram afetados. A distinção limita o impacto operacional confirmado, mas não elimina o risco à privacidade quando documentos duradouros e dados de contato chegam a um destinatário não autorizado.
Depois de detectar o incidente, a empresa disse ter bloqueado o endereço usado nos pedidos. Também notificou a agência pública relevante, órgãos policiais, autoridades de proteção de dados e reguladores financeiros, colocando sob análise o canal enganoso e os controles de verificação da Revolut.
O episódio mostra uma falha de segurança capaz de contornar defesas técnicas de perímetro. Uma mensagem pode sair de um domínio legítimo e ainda conter um pedido não autorizado, exigindo verificação do solicitante, da autoridade legal, do escopo e de um contato independente antes da entrega de dados.
O vazamento ocorre enquanto a Revolut considera uma possível abertura de capital e buscaria avaliação de até US$ 200 bilhões. As ambições são separadas do incidente, mas resposta regulatória, custos de correção e confiança podem influenciar a avaliação de governança de uma fintech.
As próximas evidências devem incluir o número confirmado de clientes, o inventário completo de dados, a duração das solicitações e qualquer uso indevido demonstrado. Até lá, a conclusão defensável é uma divulgação séria, porém limitada, sem comprometimento confirmado dos sistemas ou fundos dos clientes.
