A Revolut entregou passaportes e selfies a alguém que fingia ser uma entidade pública
A Revolut não foi pirateada. É precisamente isso que torna este caso digno de leitura.
Na segunda-feira, o banco confirmou que alguém lhe escreveu a pedir registos de clientes fazendo-se passar por uma entidade pública, e que os enviou. O pedido chegou de um domínio governamental verdadeiro e passou as verificações que deveriam provar que um email é aquilo que diz ser, pelo que os funcionários o trataram como papelada de rotina. O que saiu não foi uma lista de endereços de email. Foram digitalizações de passaportes e cartas de condução, as selfies que se tiram durante a verificação da conta, datas de nascimento, moradas, profissões, números de telefone, extratos com IBAN, registos de levantamentos e históricos completos de transações, incluindo cripto.
A Revolut afirma que está em causa apenas "um número limitado" de clientes, que os seus sistemas nunca foram tocados e que o dinheiro de ninguém se mexeu. Bloqueou o endereço assim que detetou o problema e avisou a entidade pública em causa, as autoridades policiais, a proteção de dados e os reguladores financeiros. Quem tem os dados na mão tem-se mostrado bem menos comedido. Publicou amostras em grupos do Telegram e exige 10 000 bitcoins, cerca de 780 milhões de dólares, ameaçando divulgar mais todos os dias até a Revolut pagar. O investigador de cripto ZachXBT considera que o alvo foram sobretudo titulares de contas com património elevado.
Eis a parte que interessa a toda a gente. A digitalização de um passaporte com a selfie correspondente é exatamente o conjunto necessário para abrir contas em seu nome ou para convencer um assistente de apoio a repor um acesso. E quem lhe telefonar agora a dizer que é da Revolut consegue recitar-lhe os últimos movimentos, que é justamente o que faz funcionar uma falsa chamada do departamento antifraude. Nenhum banco lhe vai ligar a pedir que transfira dinheiro para uma "conta segura": desligue e use o chat da aplicação. A verificação de privacidade e contas do Tendvane percorre as definições de início de sessão e de recuperação do seu PC, que é a outra porta a que esta gente bate a seguir.