Revolut divulga registros de clientes após uma solicitação fraudulenta de dados do governo

Solicitação oficial-visual passada verificação

Revolut divulgou registros pertencentes a um número limitado de clientes após aceitar uma solicitação de informação fraudulenta que parecia vir de uma agência governamental, de acordo com relatórios publicados pela Meduza e TV Rain em 13 de setembro. O remetente informou que operou através de um domínio de e-mail autêntico do governo, permitindo cheques padrão de autenticação de e-mel para tratar a mensagem como legítima.

O material incluiu documentos de identidade, fotografias de verificação, informações de contato, identificadores de conta e alguns registros de transações, incluindo a atividade Bitcoin. A Revolut disse que os fundos do cliente, códigos de passaporte e credenciais de login não foram comprometidos. A empresa não identificou publicamente o órgão governamental, o número de clientes afetados ou a data em que os registros foram divulgados.

Um fracasso do processo em vez de uma intrusão do sistema

A distinção é importante: o relatório disponível não descreve um atacante que entra na infraestrutura bancária da Revolut ou nas contas dos clientes. Em vez disso, ele descreve uma personalização externa que derrotou o procedimento da empresa para a validação de demandas oficiais. A autenticação de domínio de e-mail pode determinar onde uma mensagem originou, mas não pode por si só provar que o remetente está autorizado a solicitar registros de um determinado cliente.

A Revolut informou que bloqueou o remetente após descobrir o problema, notificou a agência governamental afetada e contactou a polícia, supervisores financeiros e autoridades de proteção de dados. Ele também começou a informar os clientes afetados. Esses passos estabelecem uma resposta, mas ainda não respondem como a solicitação passou a revisão legal, se a caixa de correio do governo foi comprometida ou se os dados divulgados foram abusados.

Por que os reguladores votam sobre o incidente

As regras europeias exigem que as instituições financeiras protejam as informações pessoais ao mesmo tempo que cooperam com as solicitações legais de supervisão e de aplicação da lei. A Decisão do Banco Central Europeu de 2026 estabelece requisitos formais para o tratamento de dados pessoais sob supervisão prudente. Não atribui esse incidente, mas ilustra o ambiente regulamentado em que os bancos devem verificar a autoridade, o propósito e a proporcionalidade antes de transmitir registos sensíveis.

As provas decisivas vindosão de um regulador nomeado, de uma investigação policial ou de um relatório detalhado do incidente de Revolut. Os investigadores precisarão determinar quem controlou a caixa de correio do governo e se outras empresas receberam demandas semelhantes. Até então, a escala e o dano de baixo fluxo permanecem incerta. Esta é uma história de cibersegurança e regulamentação, não um candidato de alerta militar.