Revolut confiou num domínio oficial

O pedido chegou a partir de um domínio oficial verdadeiro e passou os controlos habituais que confirmam se uma mensagem foi efetivamente enviada pela organização que afirma representar. Como solicitava dados de clientes, a Revolut acedeu e enviou documentos de identificação, fotografias do rosto, extratos bancários e históricos de transações. Mais tarde, descobriu que o remetente era um burlão (TechCrunch).

A fintech confirmou o incidente no sábado, depois de alguns dos clientes afetados terem divulgado as notificações recebidas. Mark Karpelès, antigo presidente executivo da Mt. Gox, publicou a sua e revelou assim que estava entre as vítimas (The Block). Segundo a Revolut, não houve acesso indevido à plataforma bancária nem foram roubados fundos. Os dados foram entregues em resposta aos pedidos fraudulentos, enviados através de uma conta não autorizada que, de acordo com a própria notificação da empresa, fora criada dentro da infraestrutura de correio eletrónico de um organismo público não identificado (Security Affairs).

O carimbo era verdadeiro. O remetente não estava autorizado.

Quando uma mensagem de correio eletrónico é recebida, o fornecedor do serviço executa em segundo plano vários controlos de autenticação. Estes permitem verificar se o servidor de envio foi autorizado pelo titular do domínio e se o conteúdo não sofreu alterações durante o percurso. É o equivalente digital a confirmar que uma carta traz um carimbo autêntico de uma estação de correios oficial.

Um carimbo verdadeiro, porém, não demonstra que quem escreveu a carta tinha autoridade para fazer o pedido. A notificação da Revolut indica que a autenticação válida do domínio pesou na decisão de considerar legítima a solicitação. A empresa não esclareceu se, antes de entregar os dados, confirmou por outra via a identidade do requerente ou o fundamento jurídico invocado (Security Affairs, CyberInsider).

A Revolut entregou primeiro a informação e só depois contactou diretamente o organismo público, tendo então descoberto que os pedidos não estavam autorizados. Em seguida, bloqueou o remetente, informou as autoridades e notificou os clientes (TechCrunch, Reuters/WHBL).

Continua por esclarecer como foi criada ou obtida a caixa de correio não autorizada. Poderá tratar-se de uma conta já existente que foi comprometida, de uma nova conta aberta mediante uma falha administrativa ou de uma criação facilitada por alguém no interior da organização. A Revolut não identificou o organismo público, o país, o domínio nem o autor do ataque (TechCrunch).

Os dados que saíram da empresa

A notificação enviada aos clientes enumera um conjunto extenso de dados. Entre os elementos de identificação estavam cópias do passaporte e da carta de condução, a fotografia do rosto recolhida na abertura da conta, o nome completo, a data de nascimento e a profissão. Foram também entregues a morada, o endereço de correio eletrónico e o número de telefone, além de extratos de conta com o IBAN, registos de levantamentos e todo o histórico de transações, incluindo operações com Bitcoin (TechCrunch, The Block).

A Revolut estabeleceu uma distinção: entregou a fotografia usada na abertura da conta, mas não o modelo matemático que um sistema de reconhecimento facial produz a partir dessa imagem. Ainda assim, uma fotografia do rosto é um dado sensível. Quando associada à cópia de um passaporte, poderá facilitar tentativas de fraude de identidade, embora muitos sistemas de verificação exijam também provas de que a pessoa está presente e outros controlos.

As informações divulgadas não incluíam palavras-passe, códigos de utilização única, números de cartões, tokens de autenticação ou chaves privadas de criptoativos, ou seja, os elementos que permitem entrar diretamente numa conta. O risco está sobretudo na possibilidade de os dados tornarem mais credíveis futuras tentativas de phishing. É mais difícil desconfiar de um criminoso que conhece transações reais, números de conta verdadeiros e a morada da vítima do que de alguém que envia uma mensagem fraudulenta genérica (orientações do NCSC sobre fugas de dados).

A Revolut referiu apenas um «número limitado» de clientes afetados, sem indicar o total, a distribuição por país ou o período durante o qual os pedidos foram feitos. Órgãos de comunicação social belgas noticiaram, com base em fontes não identificadas, que haveria vítimas na Bélgica, mas não existe confirmação por uma fonte primária (The Brussels Times).

A falha decisiva ocorreu no processo de verificação. A autenticação de um domínio de correio eletrónico permite a um banco saber qual foi a infraestrutura institucional usada para enviar uma mensagem, mas não confirma se a pessoa que a utilizou tinha poderes para exigir os dados dos clientes. Qualquer banco que considere esses controlos suficientes para validar um pedido fica vulnerável ao mesmo tipo de fraude. O caso da Revolut expõe a necessidade de verificar separadamente a identidade e os poderes do requerente, bem como o fundamento jurídico do pedido, em vez de confiar apenas na origem técnica da mensagem.