Escalada da fuga de dados da Revolut: hackers tornaram públicas selfies de clientes com os respetivos passaportes e ameaçam continuar a divulgar dados diariamente

Os hackers que atacaram a Revolut já não se contentam com a extorsão e começaram a divulgar publicamente os dados pessoais dos clientes. A comunidade de cibersegurança International Cyber Digest revelou no X, a 13 de setembro, que os hackers já divulgaram cópias dos documentos de identificação do tenista Alexander Shevchenko e do CEO da Gamdom, Felix Römer; os hackers ameaçam continuar a divulgar dados diariamente.

Selfies do CEO da Gamdom e do tenista com os passaportes divulgadas

A comunidade de cibersegurança International Cyber Digest revelou no X, a 13 de setembro, que os hackers que atacaram a Revolut entraram oficialmente numa segunda fase e começaram a divulgar selfies de clientes com os passaportes, bem como cópias dos seus documentos de identificação. Entre as vítimas já confirmadas estão o tenista Alexander Shevchenko e Felix Römer, CEO do casino de criptomoedas online Gamdom (e da Skinscom).

Os hackers anunciaram no Telegram que continuariam a publicar mais dados todos os dias até a Revolut «pagar», assinalando a escalada do incidente de uma extorsão privada para uma pressão pública.

Revolut explica o método do ataque: fraude de usurpação através de domínios governamentais oficiais

A Revolut explicou no sábado à Cointelegraph que o incidente teve origem numa «sofisticada fraude externa de usurpação» (sophisticated external impersonation scam). Os hackers utilizaram o domínio oficial de uma verdadeira entidade governamental para enviar emails fraudulentos, falsificando pedidos legítimos de investigação destinados a obter dados dos utilizadores da Revolut; como os emails provinham de um domínio governamental legítimo, e não de um domínio semelhante aos normalmente utilizados em emails de phishing, a equipa de conformidade da Revolut julgou erradamente tratar-se de um pedido oficial de investigação governamental e forneceu os dados dos clientes em causa.

Isto significa que o sistema de email do governo em questão poderá ter sido pirateado ou que o seu controlo poderá ter sido assumido por terceiros, fazendo com que o impacto do incidente ultrapasse o de um caso normal de cibersegurança empresarial. A Revolut afirmou que foi afetado «um número limitado» de clientes e que os sistemas da empresa e os fundos dos clientes não foram afetados.

Seis tipos de dados pessoais divulgados, segundo a notificação da Revolut aos utilizadores afetados

Na sexta-feira, a Revolut informou os utilizadores afetados de que os dados divulgados abrangiam as seis categorias seguintes:

· Nome completo, data de nascimento e profissão

· Informações de contacto: endereço de email, número de telefone e morada

· Dados da conta e histórico completo de transações

· Histórico de transações de Bitcoin (montantes e momentos das compras e vendas)

· Selfies de verificação de identidade (facial-verification selfies)

· Cópias de documentos de identificação: passaporte, carta de condução, entre outros

Isto significa que os hackers não têm apenas informações básicas de identificação, mas também uma visão completa da atividade financeira dos clientes na Revolut, desde as despesas quotidianas até à compra e venda de criptomoedas; as selfies de verificação de identidade, combinadas com os dados pessoais completos, constituem um risco extremamente elevado de usurpação de identidade.

Por que motivo a divulgação do histórico de transações de Bitcoin constitui um risco especial para a comunidade de criptomoedas

A Revolut é atualmente um dos poucos bancos digitais que integram contas em moeda fiduciária e a compra e venda de criptomoedas na mesma aplicação. O histórico de transações de Bitcoin dos utilizadores na Revolut, os montantes detidos e os momentos de compra e venda foram todos divulgados, o que equivale a permitir aos hackers conhecer toda a composição dos ativos de criptomoedas dos clientes.

É importante notar que entre as vítimas deste incidente está Felix Römer, CEO da Gamdom, o que indica que os hackers poderão ter pretendido visar especificamente figuras do setor das criptomoedas através de divulgações direcionadas, para reforçar o seu poder negocial. Para os utilizadores que recorrem à Revolut para transacionar criptomoedas, o seu histórico de transações de BTC, os montantes comprados e vendidos e os respetivos momentos estão agora nas mãos dos hackers, sendo recomendável monitorizar atentamente os relatórios de crédito e a atividade das contas.

Três pontos fundamentais a acompanhar

Com os hackers a anunciarem que continuarão a divulgar dados diariamente, há três pontos fundamentais que merecem acompanhamento contínuo. Primeiro, importa saber se a Revolut irá contactar os hackers ou pagar um resgate — a estratégia de resposta das instituições financeiras perante a extorsão será um dos focos principais. Segundo, é necessário determinar a que entidade governamental de que país pertence o «domínio governamental oficial» utilizado, uma questão relacionada com as vulnerabilidades de cibersegurança do governo desse país e que poderá desencadear investigações posteriores a nível diplomático e regulatório.

Terceiro, importa saber se a Autoridade de Conduta Financeira do Reino Unido (FCA) ou outras entidades reguladoras irão multar a Revolut na sequência deste caso — embora o ataque tenha tido origem na falsificação de emails governamentais, o rigor do processo de verificação da Revolut ao receber pedidos de investigação governamentais continuará sob escrutínio.

Perguntas frequentes

Que tipos de dados foram divulgados no incidente da Revolut e que figuras conhecidas foram afetadas?

Os dados divulgados incluem o nome completo, a data de nascimento, informações de contacto, o histórico completo de transações, o histórico de transações de Bitcoin, selfies de verificação de identidade e cópias de passaportes e cartas de condução; entre as figuras conhecidas afetadas já confirmadas estão o tenista Alexander Shevchenko e o CEO da Gamdom, Felix Römer.

Como obtiveram os hackers os dados dos clientes da Revolut?

Segundo a explicação da Revolut à Cointelegraph, os hackers utilizaram o domínio oficial de uma verdadeira entidade governamental para enviar emails fraudulentos de usurpação. A equipa de conformidade da Revolut julgou erradamente tratar-se de um pedido oficial de investigação e forneceu os dados dos clientes, o que significa que o sistema de email do governo em questão poderá ter sido pirateado.

Que ameaças fizeram os hackers depois de divulgarem publicamente os dados e qual é a posição oficial da Revolut?

Os hackers anunciaram no Telegram que continuariam a publicar mais dados todos os dias até a Revolut «pagar»; a Revolut afirmou que foi afetado «um número limitado» de clientes e que os sistemas da empresa e os fundos dos clientes não foram afetados, mas ainda não se pronunciou sobre se irá responder às exigências dos hackers.