Revolut confirma violação de dados de clientes por meio de solicitações falsas do governo
A Revolut confirmou uma violação de dados em que atacantes, se passando por agências governamentais ou de segurança pública por e-mail, obtiveram informações sensíveis de clientes, possivelmente incluindo documentos de identidade e vídeos de “selfie” usados para KYC. Os comentaristas destacam como canais ad hoc e inseguros para pedidos oficiais de dados, autenticação fraca de autoridades e obrigações legais de responder criam riscos sistêmicos que até fintechs “modernas” muitas vezes lidam mal. O incidente também renova as críticas à retenção obrigatória de dados de identidade, à verificação automática de identidade e ao histórico mais amplo de segurança e conformidade da Revolut.
Pedidos de autoridades policiais e segurança de e-mail
- Vários comentaristas com experiência em pedidos de LE dizem que a maioria das solicitações chega como PDFs por e-mail de endereços “parecidos com .gov”, muitas vezes sem canais seguros.
- Controles comumente usados: verificar DKIM, checar o cabeçalho e ligar de volta usando números de telefone obtidos de fontes independentes; mas a pressão de tempo e as obrigações legais costumam enfraquecer o rigor.
- Alguns observam que muitos domínios oficiais não têm SPF/DKIM/DMARC adequados, tornando a falsificação fácil; outros argumentam que um e-mail autenticado por DKIM implicaria um comprometimento do lado do governo.
- Uma crítica central: a Revolut supostamente tratou “e-mail de um domínio governamental com aparência real” como autorização suficiente, em vez de verificar o solicitante, o canal e o escopo.
- Boa prática sugerida: listas rígidas de canais, callbacks obrigatórios, verificação de números de referência e limitar respostas de emergência aos mínimos de dados.
KYC, selfies e retenção de dados
- Debate sobre por que selfies/vídeos e scans de ID são armazenados:
- Alguns dizem que a regulamentação/AML exige reter provas por anos.
- Outros argumentam que basta registrar que as verificações foram feitas, sem manter os scans completos; a resposta observa que as regras da UE normalmente exigem reter evidências, mas com exclusão eventual.
- Divergência sobre a prevalência do KYC com selfie:
- Alguns dizem que “a maioria dos bancos agora exige selfies”.
- Outros relatam abrir contas sem selfies ou fazer apenas verificações de ID na agência (embora esses IDs ainda sejam digitalizados).
- Preocupação de que provedores de KYC, e não apenas bancos, armazenem esses dados e talvez não invistam em proteções no estilo de “cold storage”.
Cultura de segurança e histórico da Revolut
- Vários comentários caracterizam a Revolut como priorizando crescimento e baixo custo em detrimento da segurança e da qualidade do suporte.
- Problemas citados no passado: detecção de AML desativada, uso de candidatos a emprego como geradores de leads não remunerados, falha em congelar contas mediante solicitação e altas estatísticas de fraude/chargeback.
- O suporte é descrito como fortemente automatizado e difícil de encaminhar para humanos; notificações de violação podem se perder em meio a e-mails de marketing.
Impacto para usuários, direitos e confiança
- Alguns usuários relatam que a Revolut lhes disse que não foram afetados; outros questionam como isso pode ser verificado e observam limites legais para divulgar acesso de LE.
- Leis de dados e bancárias da UE/Reino Unido são citadas, mas há divergência sobre o que deve ser divulgado e quando.
- Vários comentaristas concluem que, uma vez vazados, esses dados de identidade, especialmente vinculados a atividade cripto on-chain, o risco é de longo prazo.
Conclusões mais amplas
- O acesso do governo a dados privados é apresentado como uma espécie de “backdoor” de facto que atacantes também podem explorar.
- Bancos legados são vistos como desajeitados, mas muitas vezes mais testados em combate em termos de segurança; fintechs modernas são vistas como mais expostas à engenharia social.