Revolut nega ter entrado em contato com hackers em relação à suposta exigência de resgate de US$ 3 milhões

Nenhuma exigência direta foi recebida, afirma a Revolut

A Revolut afirmou não ter recebido contato direto nem exigências de nenhum grupo que assumisse a responsabilidade por uma recente violação de dados. A negação da empresa de fintech ocorreu menos de 24 horas após relatos de que hackers exigiram 6.000 XMR, avaliados em US$ 3 milhões, para manter os arquivos de clientes acessados ilegalmente fora do mercado.

A empresa de fintech sediada em Londres confirmou no início deste mês que um terceiro não autorizado obteve informações confidenciais pertencentes a um número limitado de clientes ao usar o domínio de e-mail de uma agência governamental legítima para enviar solicitações fraudulentas de dados. Declarações públicas publicadas online nesta semana por um hacker que atua sob o nome “IAmNotAVillain” ameaçavam divulgar ou vender dados de clientes, a menos que a Revolut pagasse.

“A Revolut não recebeu nenhum contato direto nem exigência por parte dos indivíduos ou do grupo que fazem essas alegações”, afirmou um porta-voz da empresa. A violação, que supostamente teve como alvo cerca de 680 clientes de alto patrimônio líquido em toda a Europa, não envolveu uma invasão técnica direta nos sistemas centrais da Revolut.

Em vez disso, os invasores utilizaram engenharia social para se passar por autoridades governamentais ao longo de vários meses, obtendo arquivos de verificação de clientes, documentos de identidade e registros de transações. A Revolut enfatizou que os fundos dos clientes e os sistemas internos permanecem seguros e não foram afetados. A empresa informou que bloqueou o endereço de e-mail fraudulento assim que descobriu a violação e comunicou o incidente às autoridades policiais, às autoridades de proteção de dados e aos órgãos reguladores financeiros.

Analista alerta para vulnerabilidades no KYC

O incidente destaca vulnerabilidades sistêmicas mais amplas na forma como as instituições financeiras lidam com dados de identidade obrigatórios. Jonathan Riss, analista de inteligência de código aberto e blockchain da empresa de segurança Certik, argumentou que a causa raiz vai além das defesas de empresas individuais, estendendo-se aos próprios requisitos regulatórios.

“A verdadeira questão é que o KYC criou uma camada de identidade extremamente sensível que as plataformas financeiras são obrigadas a manter, muitas vezes porque governos e reguladores exigem informações cada vez mais detalhadas sobre os clientes”, disse Riss. “A responsabilidade, portanto, não recai apenas sobre bancos, fintechs ou corretoras de criptomoedas.”

Segundo Riss, as autoridades públicas também precisam avaliar se cada informação que exigem é realmente necessária e por quanto tempo deve ser mantida. Elas devem questionar se os procedimentos existentes para solicitar dados de clientes são suficientemente seguros.

Riss, por sua vez, observou que a exposição de arquivos detalhados de identidade pode acarretar riscos reais mais elevados no setor de ativos digitais. “As plataformas ainda devem minimizar a retenção, restringir o acesso e fortalecer a autenticação das solicitações governamentais e das autoridades de aplicação da lei por meio de canais de verificação independentes”, acrescentou Riss.

Embora o debate sobre as táticas dos hackers vá continuar, Riss acredita que o incidente deve levar o setor e os reguladores a repensar o modelo atual. O objetivo não deve mais se limitar à proteção de carteiras e fundos; deve incluir também a proteção das identidades financeiras dos usuários.