A proeminente fintech britânica Revolut admitiu ter exposto dados sensíveis de clientes após cair em um sofisticado golpe de engenharia social. A empresa entregou informações a um terceiro não autorizado que se passou por uma agência governamental, utilizando um canal de comunicação aparentemente legítimo.

O ataque, reportado pelo The Register, foi executado através de um e-mail enviado de um domínio governamental genuíno, o que permitiu contornar defesas técnicas e explorar a confiança humana. O incidente levanta um debate crítico sobre a robustez dos processos internos de segurança em um setor que lida com os dados mais íntimos de seus usuários, mesmo em empresas com ambições de avaliações bilionárias.

A confiança como vulnerabilidade

O cerne da falha não foi um hack complexo, mas a manipulação de processos. Ao se passar por uma autoridade, o invasor solicitou e recebeu um pacote de dados extremamente sensíveis. A lista inclui informações de KYC (Know Your Customer), como passaportes e carteiras de motorista, as selfies de verificação submetidas pelo aplicativo, extratos de conta, IBANs e históricos completos de transações, incluindo as de Bitcoin.

Em comunicado, a Revolut afirmou que apenas uma "pequena proporção" de seus mais de 80 milhões de clientes foi impactada e que os indivíduos afetados foram contatados diretamente. No entanto, a empresa não especificou o número de vítimas nem qual agência governamental teve seu domínio de e-mail comprometido, criando um vácuo de informação que alimenta a incerteza no mercado.

A chantagem e a reputação em jogo

O que era uma falha interna de segurança rapidamente se transformou em uma crise pública. Indivíduos que reivindicam a autoria do ataque estão utilizando grupos no Telegram para vazar trechos de dados que parecem pertencer a figuras de alto perfil, como CEOs e artistas. A chantagem é explícita: um resgate de 10.000 bitcoins, hoje equivalentes a mais de US$ 780 milhões, para impedir a divulgação contínua dos dados.

Para uma companhia que, segundo seu CEO Nik Storonsky, almeja um IPO com avaliação na casa dos US$ 200 bilhões após 2028, o golpe é um abalo reputacional severo. O episódio serve como uma dura lição para todo o ecossistema de fintechs, incluindo o brasileiro, onde a confiança do cliente é o ativo mais valioso e, como se vê, o mais frágil. A questão não é apenas se a tecnologia é segura, mas se os processos humanos que a governam são à prova de enganos.

Embora a Revolut garanta que seus sistemas e os fundos dos clientes permanecem seguros, a crise de confiança já está instalada. A capacidade da empresa de conter o vazamento e gerenciar a comunicação nos próximos dias será decisiva para mitigar os danos a uma marca que se tornou sinônimo de inovação financeira, mas que agora também será associada a uma vulnerabilidade crítica.

Com reportagem de Brazil Valley

Source · The Register