A Revolut revelou passaportes, selfies de verificação e históricos de transações em Bitcoin de clientes a um atacante que se fez passar por uma agência governamental legítima através de um email que passou todas as verificações de autenticação habituais. A divulgação ocorreu depois de a Revolut ter tratado como genuíno um pedido de informação governamental fraudulento e, em seguida, ter contactado a agência em separado e percebido que o pedido não era autorizado.
Por que isto importa
O pedido fraudulento veio de uma caixa de correio não autorizada a operar dentro da infraestrutura de email de uma agência governamental real, e não de um endereço externo falsificado. O email passou a autenticação SPF, DKIM e DMARC, o que, segundo a Revolut, a levou a cumprir o pedido. Essa combinação transformou efetivamente um fluxo de conformidade pensado para proteger os clientes no ponto de entrada da violação.
Os registos expostos associam identidade verificada a atividade em criptoativos, uma combinação que os quadros de conformidade foram criados para proteger. As transações em Bitcoin são registadas numa blockchain pública, pelo que ligar um nome, morada e profissão a fluxos específicos de BTC dá a um atacante um ponto de partida para mapear a pegada onchain mais alargada de uma pessoa. Marc Zeller, fundador da Aave Chan Initiative, estava entre os notificados e acusou a Revolut de fazer o trabalho dos atacantes, depois de a empresa lhe ter exigido, em separado, mais informações pessoais ou o encerramento da sua conta.
Impacto no mercado
Não há notícia de fundos de clientes roubados. A Revolut afirmou que a divulgação não incluiu palavras-passe, PINs de cartões nem chaves privadas de criptomoedas. O risco imediato é o pacote de documentos de identidade, dados de contacto, moradas residenciais e históricos financeiros que está agora potencialmente nas mãos do atacante. O investigador onchain ZachXBT disse que a violação parecia limitada em dimensão e pode ter visado clientes de elevado património. A Revolut não divulgou a agência envolvida, o número total de clientes afetados, nem se o seu processo de verificação mudou desde o incidente.
Perguntas frequentes
-
Como é que os hackers enganaram a Revolut para obter dados de clientes?
Os atacantes usaram uma caixa de correio não autorizada dentro da infraestrutura de email de uma agência governamental real. O email fraudulento passou a autenticação SPF, DKIM e DMARC, pelo que a Revolut o tratou como um pedido de informação governamental legítimo.
-
Que informações específicas foram divulgadas na violação da Revolut?
Os dados divulgados podem incluir cópias de passaporte ou carta de condução, selfies de verificação, nomes, datas de nascimento, profissões, moradas, números de telefone, IBANs, extratos de conta, registos de levantamentos e históricos completos de transações, incluindo atividade em Bitcoin.
-
Foram roubados fundos de clientes na violação da Revolut?
Não. A Revolut afirmou que palavras-passe, PINs de cartões e chaves privadas de criptomoedas não faziam parte da divulgação. O risco resulta da combinação de documentos de identidade e históricos de transações em cripto que estão agora potencialmente nas mãos do atacante.
-
Quem foi afetado pela violação de dados da Revolut?
A Revolut não revelou a agência envolvida, o número total de clientes afetados nem como os pedidos foram analisados. O investigador onchain ZachXBT disse que a divulgação parecia limitada em dimensão e pode ter visado clientes de elevado património.
-
Porque é que expor históricos de transações em Bitcoin é especialmente arriscado?
As transações em Bitcoin são registadas numa blockchain pública. Quando os dados de identidade são associados à atividade em cripto, os atacantes podem mapear uma pessoa conhecida para endereços específicos e seguir a sua pegada onchain mais ampla.
WuBlockchain
Crypto News
CoinDesk
TheBlock
CoinTelegraph