A Revolut está sob escrutínio após hackers afirmarem estar vendendo um banco de dados contendo registros de mais de 75 milhões de usuários. No entanto, a empresa afirma que não encontrou evidências de uma nova violação neste momento. Um ator de ameaça anunciou o que descreve como um banco de dados de clientes da Revolut em um fórum de cibercrime, alegadamente contendo 75 milhões de registros vinculados à popular plataforma fintech.
Detalhes do suposto vazamento
Amostras compartilhadas com pesquisadores incluem dados parciais de cartão, endereços de e-mail, nomes completos, números de telefone, endereços físicos, identificadores de conta, informações de dispositivo e credenciais de usuário hashadas. O vendedor estaria oferecendo o conjunto de dados por cerca de 500 dólares, o que parece um preço suspeitamente baixo dada a escala alegada dos dados.
Pesquisadores de segurança que examinaram as amostras notaram a presença de detalhes de cartão de pagamento, como os últimos quatro dígitos, tipo de cartão, datas de validade e status do cartão, bem como informações pessoalmente identificáveis (PII) como endereços de e-mail, nomes, países e IPs de registro.
O conjunto de dados parece conter hashes de senha bcrypt ou argon2id, bem como metadados sobre modelos de dispositivo e sistemas operacionais. Essas informações poderiam permitir um perfil detalhado de usuários-alvo. A análise inicial sugere que os registros podem se estender até cerca de maio de 2025.
Posicionamento da empresa e investigação
Investigadores ainda não vincularam as amostras a incidentes anteriormente documentados envolvendo a Revolut, levantando a possibilidade de que os dados sejam agregados de várias fontes em vez de uma única violação. A Revolut está ciente da listagem no fórum, mas contesta fortemente que reflita uma violação real de seus sistemas.
Segundo um post da CyberWatch no X, a empresa afirmou que a suposta violação carece de uma contagem de registros verificável, amostras de dados significativas ou evidências técnicas indicando uma nova violação. A Revolut insiste que seu monitoramento interno e controles de segurança não mostraram sinais de acesso não autorizado relacionados a este suposto vazamento, e a empresa está conduzindo uma investigação contínua.
Em 2022, a Revolut revelou um ataque de engenharia social direcionado que expôs dados para aproximadamente 50.150 clientes, cerca de 0,16% de sua base de usuários de 20 milhões na época. Se o vazamento relatado de 75 milhões de registros for legítimo, representaria um evento significativamente maior.
Riscos para os usuários e setor financeiro
Se confirmado, o vazamento aumentaria drasticamente o risco de phishing, roubo de identidade e fraude financeira contra a comunidade global de usuários da Revolut. Mesmo sem verificação completa, a presença de informações de contato detalhadas e dados parciais de cartão em mercados criminosos pode facilitar campanhas de phishing altamente convincentes.
Usuários são aconselhados a tratar mensagens não solicitadas referenciando a Revolut com cautela, evitar clicar em links incorporados e autenticar comunicações apenas por canais oficiais e notificações no aplicativo. Habilitar autenticação multifator, alterar credenciais regularmente e monitorar de perto a atividade da conta para transações suspeitas são passos essenciais.
Implicações regulatórias e LGPD
Este incidente levanta questões sobre conformidade regulatória, especialmente em relação à LGPD no Brasil e ao GDPR na Europa. A Revolut, operando globalmente, deve garantir que seus processos de resposta a incidentes estejam alinhados com as obrigações de notificação de violação de dados.
A ANPD e outras autoridades de proteção de dados podem exigir investigações detalhadas sobre a origem dos dados e a eficácia das medidas de segurança da empresa. A transparência na comunicação com os usuários afetados é crucial para manter a confiança e mitigar danos reputacionais.