A Revolut confirmou que uma parte não autorizada usou uma caixa de correio em um domínio legítimo de um órgão governamental para obter registros de clientes.
As notificações aos clientes listam passaportes ou carteiras de motorista, selfies de verificação, IBANs, registros de retirada e históricos completos de transações de Bitcoin.
A empresa disse que um número limitado de clientes foi afetado, que os fundos não foram comprometidos e que o número exato de pessoas e a agência não foram nomeados.
O investigador on-chain ZachXBT disse que o incidente parecia limitado e pode ter mirado usuários com alto patrimônio líquido.
A Revolut divulgou ficheiros sensíveis de “know your customer” (conheça o seu cliente) e históricos de transações em Bitcoin pertencentes a um grupo limitado de clientes depois de ter tratado pedidos de informação fraudulentos como exigências genuínas do governo, confirmou a fintech com sede em Londres no sábado.
Uma porta-voz descreveu o episódio como um “golpe sofisticado de personificação externa” no qual “uma terceira parte não autorizada utilizou um endereço de e-mail de um domínio de uma agência governamental legítima para enviar pedidos fraudulentos de informação”. A Revolut afirmou que bloqueou o endereço após identificar a atividade, contatou a agência e notificou as autoridades de aplicação da lei e os reguladores. Os sistemas e os fundos dos clientes não foram afetados, de acordo com o mesmo comunicado reportado pelo The Block.
A empresa não publicou um número de funcionários, não nomeou a agência nem disse se o incidente ficou restrito a um único mercado. Avisos que começaram a chegar aos clientes na sexta-feira, 11 de setembro, disseram que o pedido partiu de uma caixa de correio não autorizada criada dentro de um domínio oficial do governo e que tinha credenciais de autenticação válidas, o que levou a Revolut a atendê-lo. O ex-diretor executivo do Mt. Gox, Mark Karpelès, publicou trechos desse aviso e disse que estava entre os contatados.
De acordo com o texto do aviso divulgado por Karpelès, o material que pode ter sido fornecido incluía nome completo, data de nascimento e ocupação; endereço postal, e-mail e número de telefone; cópias de um passaporte e/ou carta de condução, além do selfie de verificação de onboarding; e extratos de conta com IBAN, estado da conta, data de abertura e números de referência da carteira, juntamente com registos de levantamentos e o histórico completo de transações, incluindo Bitcoin. A Revolut disse que não houve envolvimento de telemetria facial biométrica. A cobertura dos avisos aos clientes também afirma que as senhas, os PINs dos cartões e as chaves privadas de cripto não foram descritos como tendo deixado a empresa, e que não foram reportados fundos de clientes roubados.
O investigador de onchain ZachXBT sinalizou os avisos na sexta-feira e disse que a divulgação parecia limitada em escala e poderia ter como alvo utilizadores de elevado patrimônio líquido. Essa combinação de documentos de identidade do governo, endereços residenciais e atividade em Bitcoin é matéria-prima para phishing direcionado ou ameaças físicas, mesmo que os sistemas bancários centrais da Revolut não tenham sido violados. A empresa, que atende mais de 80 milhões de clientes globalmente, recusou-se a identificar a agência comprometida enquanto uma investigação policial está em andamento.