O incidente de dados envolvendo a Revolut ganhou uma nova dimensão depois que um grupo de hackers passou a exigir 6.000 Monero, avaliados em aproximadamente US$ 3 milhões, para não vender registros de clientes a outros criminosos. O grupo, que usa o nome “iamnotavillain”, estabeleceu um prazo de 24 horas e publicou uma contagem regressiva junto da cobrança.
A gravidade do caso não está apenas no valor do resgate. Os registros teriam reunido informações que normalmente permanecem separadas: documentos de identidade, endereços, históricos bancários, detalhes de conta e, em alguns casos, referências de carteiras e transações em Bitcoin. Os próprios hackers alegam que usaram análise de blockchain para localizar clientes que aparentavam possuir grandes volumes de criptomoedas, embora essa alegação não tenha sido verificada de forma independente.
O grupo ameaça transformar o vazamento em um mercado de dados
Segundo o Financial Times, “iamnotavillain” publicou a exigência de pagamento na quarta-feira.
A condição estabelecida foi simples: a Revolut teria 24 horas para enviar 6.000 XMR.
Caso isso não acontecesse, os hackers disseram que ofereceriam os registros dos clientes para outros grupos criminosos.
Considerando um valor implícito de aproximadamente US$ 500 por Monero, o total exigido chega perto de US$ 3 milhões.
Até a publicação das informações, não havia notícia de negociação entre a Revolut e os responsáveis pela extorsão.
A empresa também não havia informado se pretendia responder ou pagar.
Os criminosos escolheram uma moeda voltada à privacidade
O pedido em Monero acrescenta uma camada específica ao caso.
A criptomoeda foi desenvolvida para ocultar dados de transações que em outras blockchains ficam visíveis publicamente.
As chamadas ring signatures dificultam identificar o verdadeiro remetente ao misturá-lo com outros possíveis participantes. Stealth addresses escondem o endereço público do destinatário, enquanto Ring Confidential Transactions ocultam o valor enviado.
Essas características tornam o acompanhamento de uma movimentação mais difícil do que em redes transparentes como Bitcoin ou Ethereum.
Isso não significa que Monero ou seus usuários estejam ligados necessariamente a atividades criminosas. A própria matéria ressalta que XMR também é utilizado por pessoas que buscam privacidade financeira legítima.
Uma gravação teria exibido parte do material
Os hackers forneceram ao Financial Times uma gravação de tela de cerca de 60 segundos.
Segundo o jornal, o vídeo aparentava mostrar parte do material em poder do grupo.
Passaportes, carteiras de motorista, fotografias enviadas durante verificações de identidade e históricos de transações teriam aparecido nas imagens.
Esse material foi apresentado pelos próprios hackers, enquanto a Revolut não confirmou publicamente que o grupo controla todos os dados que afirma possuir.
Ainda assim, a empresa já havia reconhecido um incidente envolvendo a divulgação de informações de clientes.
Pelo menos 680 contas foram afetadas
O número conhecido é de pelo menos 680 contas.
A Revolut, porém, descreveu publicamente o volume apenas como uma parcela “muito limitada” de sua base total de clientes.
O Information Commissioner’s Office do Reino Unido abriu uma investigação depois que a companhia notificou o incidente aos reguladores.
A informação de 680 contas oferece uma dimensão mínima conhecida para o caso, mas não significa que todos os clientes afetados tiveram exatamente as mesmas categorias de dados expostas.
Os registros poderiam variar conforme as informações mantidas em cada conta.
A origem do vazamento não foi um ataque direto aos servidores
O método atribuído aos atacantes diferencia esse caso de uma invasão convencional.
De acordo com a Revolut, seus próprios sistemas não foram comprometidos.
Os criminosos teriam se apresentado como funcionários governamentais solicitando informações sobre determinados clientes.
As mensagens foram enviadas por uma conta usando o domínio de uma agência governamental legítima.
Além disso, possuíam credenciais válidas de autenticação de domínio.
Esses elementos foram suficientes para que as solicitações passassem pelos controles da Revolut utilizados para verificar pedidos desse tipo.
A Revolut entregou os registros antes de descobrir a fraude
Como as solicitações pareciam legítimas, a empresa forneceu informações relacionadas aos clientes.
Somente depois percebeu que os pedidos eram fraudulentos.
A Revolut então bloqueou o endereço de email utilizado e entrou em contato com a agência governamental envolvida, autoridades policiais, órgãos de proteção de dados e reguladores financeiros.
A companhia descreveu o episódio como um esquema sofisticado de personificação externa.
Ao mesmo tempo, manteve a posição de que sua infraestrutura continuava segura e que os fundos dos clientes não foram comprometidos.
A agência governamental ainda não foi identificada
Uma informação importante permanece ausente.
A Revolut não revelou publicamente qual agência governamental teve seu domínio utilizado nas solicitações falsas.
A empresa também não explicou de que maneira os hackers conseguiram acesso a uma conta operando dentro daquele domínio.
Esse ponto é central para entender por que as mensagens aparentavam autenticidade suficiente para passar pelos procedimentos internos.
Sem essa informação, não é possível determinar a origem exata do acesso ou o processo que permitiu aos atacantes produzir solicitações válidas do ponto de vista técnico.
Os dados pessoais expostos são amplos
As primeiras informações sobre o incidente indicaram a divulgação de nomes completos, datas de nascimento, ocupações, endereços residenciais, emails e números de telefone.
Também foram incluídas cópias de passaportes ou carteiras de motorista.
Selfies utilizadas durante processos de verificação de identidade estavam entre os materiais listados.
Essa combinação fornece muito mais contexto sobre uma pessoa do que um simples banco de emails ou telefones.
Ela reúne dados capazes de identificar um indivíduo e documentos normalmente utilizados para confirmar essa identidade.
Os registros financeiros ampliam o risco
A parte bancária incluía números de IBAN, datas de abertura das contas, status, registros de saques e históricos completos de transações.
Alguns extratos também continham números de referência de carteiras Bitcoin e registros de transações com BTC.
Essa associação entre identidade e atividade financeira é especialmente relevante.
Um criminoso que possui apenas um endereço blockchain pode enxergar movimentações públicas, mas não necessariamente saber quem controla aquele endereço.
Quando informações internas de uma instituição conectam uma pessoa real à atividade cripto, essa separação pode desaparecer.
A Revolut excluiu algumas categorias da divulgação
A empresa fez uma distinção entre fotos utilizadas em verificações de identidade e dados biométricos de telemetria facial.
Segundo a Revolut, os dados biométricos desse tipo não estavam incluídos na exposição.
Também não foram listados entre os dados comprometidos chaves privadas, senhas, códigos de segurança ou números completos de cartões de pagamento.
A ausência dessas categorias limita alguns tipos de acesso direto.
Ela não elimina, entretanto, o risco decorrente do uso de documentos e históricos verdadeiros em tentativas de fraude.
A alegação de análise blockchain muda a interpretação do alvo
Os hackers afirmaram ao Financial Times que utilizaram análise de blockchain para encontrar clientes Revolut que pareciam ter grandes quantidades de criptoativos.
Caso seja verdadeira, a alegação indica que o grupo afetado pode ter sido escolhido de forma direcionada.
Não seria apenas uma seleção aleatória entre milhões de clientes.
O investigador on-chain ZachXBT já havia afirmado anteriormente que o incidente aparentava envolver usuários de alto patrimônio.
A Revolut não confirmou essa avaliação.
A nova declaração dos próprios hackers é consistente com essa hipótese, mas continua sem verificação independente.
Blockchains transparentes podem revelar padrões financeiros
Bitcoin e outras redes públicas registram transações de forma visível.
Analistas conseguem observar movimentos entre endereços, saldos e históricos.
Essas informações são pseudônimas, mas podem ganhar outro significado quando uma plataforma possui registros ligando uma carteira a um cliente identificado.
A suposta base obtida da Revolut pode conter exatamente esse tipo de ligação.
Os documentos e dados de contato estabelecem a identidade.
As referências de carteiras e registros de Bitcoin podem revelar partes da atividade cripto.
Juntos, esses elementos oferecem uma visão mais completa sobre determinados clientes.
O incidente mostra uma diferença importante entre Bitcoin e Monero
Os criminosos alegadamente encontraram alvos usando atividade blockchain visível e depois escolheram Monero para solicitar a própria rançon.
Esse contraste é relevante.
Em redes como Bitcoin, o histórico de transações pode ser acompanhado publicamente, embora a identidade por trás dos endereços nem sempre seja conhecida.
Em Monero, a privacidade é aplicada de forma obrigatória por padrão.
Isso torna mais difícil reconstruir o caminho completo de uma transferência.
O caso não estabelece qualquer relação criminal geral com XMR, mas mostra por que atores que buscam dificultar rastreamento podem preferir a moeda em certas situações.
Outro caso de agosto mostrou conversão para XMR
A matéria cita um caso separado envolvendo a Coinsbuy.
Investigadores disseram que ativos provenientes de um hack de aproximadamente US$ 7,9 milhões foram convertidos em Monero.
Empresas de análise conseguiram rastrear partes dos fundos por diversas exchanges antes que alguns valores fossem trocados por XMR.
O episódio é apresentado apenas como exemplo das dificuldades adicionais de rastreamento após a conversão para uma moeda mais privada.
Não existe indicação de ligação entre o caso Coinsbuy e a invasão de dados da Revolut.
Dados reais podem tornar golpes futuros muito convincentes
Um dos maiores riscos para os clientes afetados está fora da plataforma.
Criminosos podem usar informações verdadeiras para criar mensagens altamente personalizadas.
Um falso representante de banco pode citar o nome completo, o endereço, uma movimentação legítima ou parte do histórico da vítima.
Também pode possuir uma cópia real de um documento usado em verificação.
A presença dessas informações aumenta a credibilidade do contato.
Por isso, a matéria alerta que conhecer detalhes corretos não significa que a pessoa do outro lado representa realmente a Revolut, uma exchange, uma agência governamental ou um fornecedor de carteira.
A orientação é verificar tudo pelo canal oficial
A orientação de segurança da Revolut nos Estados Unidos afirma que a companhia não liga inesperadamente para exigir que clientes façam pagamentos ou forneçam códigos de verificação e segurança.
Em caso de contato suspeito, o usuário pode confirmar a situação diretamente pelo suporte dentro do aplicativo.
A recomendação é particularmente importante quando os criminosos já podem possuir dados verdadeiros.
Um fraudador não precisa inventar todas as informações.
Ele pode começar a conversa com dados legítimos para ganhar confiança e depois solicitar dinheiro, códigos ou novas informações.
Não se sabe se há clientes americanos entre os 680
O relatório do Financial Times não informou se alguma das contas afetadas pertence a usuários dos Estados Unidos.
Mesmo assim, o material destaca que a combinação de dados de identidade e histórico cripto cria um risco relevante para americanos que recebam contatos fraudulentos.
A Federal Trade Commission orienta vítimas de exposição de informações pessoais ou bancárias a utilizar IdentityTheft.gov para obter passos específicos conforme o tipo de dado envolvido.
Tentativas de phishing podem ser relatadas em ReportFraud.ftc.gov.
O FBI pede detalhes técnicos em denúncias de fraude cripto
O Internet Crime Complaint Center do FBI solicita informações específicas quando uma vítima denuncia fraude envolvendo criptomoedas.
Entre os dados úteis estão endereços de carteiras, valores transferidos, tipo de ativo, hashes das transações e datas e horários das movimentações.
Esses registros podem ser importantes caso os criminosos utilizem informações vazadas para tentar convencer clientes a realizar transferências.
A recomendação não significa que fundos já tenham sido roubados das 680 contas.
A Revolut afirma que os fundos de seus clientes não foram comprometidos pelo incidente original.
O maior problema agora é o que pode acontecer com os registros
A fase inicial do caso envolveu a entrega indevida de informações depois que solicitações governamentais falsas passaram pelos controles da empresa.
A etapa atual é diferente.
Os hackers dizem estar dispostos a vender os dados para outros grupos caso não recebam a quantia exigida.
Se isso acontecer, a quantidade de atores com acesso às informações pode aumentar.
Os registros poderiam então ser reutilizados em novas campanhas de phishing, personificação ou outras fraudes.
Essa é uma consequência potencial da ameaça do grupo, não um evento confirmado até o momento.
A Revolut ainda não confirmou a posse alegada pelos hackers
Embora o grupo tenha enviado uma gravação ao Financial Times, a Revolut não confirmou publicamente que “iamnotavillain” possui todos os dados descritos.
Também não informou se acredita que o grupo é o responsável original pelas solicitações falsas.
Portanto, existem duas partes diferentes do caso.
A exposição de informações de clientes foi reconhecida pela empresa.
Já a identidade dos responsáveis, a extensão exata do material atualmente controlado pelo grupo e a autenticidade de todas as alegações dos hackers continuam sem confirmação pública completa.
O incidente expõe o risco de processos baseados em confiança institucional
O caso também mostra que uma instituição pode enfrentar perda de dados sem que sua rede principal seja invadida.
Os atacantes teriam explorado a confiança existente entre uma instituição financeira e pedidos oficiais enviados por autoridades.
Ao utilizar um domínio governamental legítimo e credenciais válidas, conseguiram fazer solicitações que pareciam autênticas.
A Revolut forneceu os registros porque os pedidos passaram pelas verificações utilizadas naquele momento.
O problema central, portanto, foi o processo de validação de uma identidade institucional externa.
A combinação entre identidade e cripto torna o caso incomum
O elemento mais sensível da exposição pode ser a união de dados pessoais com informações financeiras e blockchain.
Passaportes, endereços e selfies permitem identificar uma pessoa.
Históricos de transações mostram comportamento financeiro.
Referências de Bitcoin adicionam uma camada relacionada a ativos digitais.
Se os hackers realmente selecionaram usuários com base em análise blockchain, esses elementos podem ter sido utilizados justamente para montar uma lista de pessoas consideradas mais atraentes financeiramente.
Essa alegação ainda não foi verificada de forma independente, mas é uma das partes mais relevantes do relato.
A cobrança de US$ 3 milhões leva o caso para uma nova etapa
A Revolut afirma que seus sistemas e os fundos dos clientes permanecem seguros, mas isso não elimina os riscos causados pela informação já divulgada.
A empresa bloqueou o endereço utilizado, notificou autoridades e reguladores e entrou em contato com a agência governamental cujo domínio foi empregado.
Agora, o grupo exige 6.000 XMR e ameaça vender os arquivos em 24 horas.
Até a publicação da reportagem, não havia negociações conhecidas nem indicação de que Revolut pretendesse pagar.
A principal preocupação deixa de ser apenas como os dados saíram e passa também a ser como poderão ser usados a partir de agora. Se os registros forem distribuídos a outros grupos, clientes afetados poderão enfrentar tentativas muito mais personalizadas de fraude, especialmente porque os materiais combinam identidade real, histórico financeiro e, em alguns casos, atividade relacionada a Bitcoin.
