Apesar da gravidade do que aconteceu com a Revolut, importa – desde logo – clarificar e tranquilizar os seus utilizadores que não existem, até agora, indícios de um ataque directo aos sistemas da Revolut ou uma intrusão que tenha permitido ao atacante entrar nas contas dos seus clientes. O problema – aparentemente – residiu numa falha no processo de validação de pedidos de informação: a Revolut recebeu pedidos fraudulentos que aparentavam vir de uma entidade governamental legítima e forneceu informação de clientes a um terceiro não autorizado.

A própria Revolut classificou o incidente como uma “sophisticated external impersonation scam” e não como uma intrusão propriamente. Aparentemente, os pedidos fraudulentos utilizaram um endereço de email pertencente a um domínio legítimo de uma agência governamental e passaram as verificações técnicas do domínio.

A dimensão exacta do incidente continua por esclarecer. A Revolut aponta para um “very limited group of customers”, mas não disse quantos eram nem identificou publicamente a entidade governamental cujo domínio foi abusado e, sobretudo, não indicou de que forma é que este abuso tinha sido realizado.

Quanto aos dados acedidos e dos quais uma amostra foi publicada na dark web, tratam-se de datas de nascimento, moradas, endereços de email, números de telefone e cópias de documentos de identificação. Contudo, Informação posterior atribuída à comunicação enviada pela Revolut aos clientes afectados aponta para um conjunto potencialmente mais amplo, incluindo nomes completos, profissão, documentos de identificação, selfies de verificação, IBAN, extractos, registos de levantamentos e histórico de transacções, incluindo transacções relacionadas com Bitcoin.

Há aqui uma questão de cibersegurança particularmente interessante: Não foi necessário “hackear” a Revolut no sentido tradicional. O atacante explorou a confiança existente no processo de resposta a pedidos governamentais. O facto de a mensagem provir de um domínio governamental legítimo tornou o pedido aparentemente credível. Segundo a Revolut, os pedidos apresentavam autenticação técnica válida do domínio.

Isto demonstra uma limitação importante do SPF, DKIM e DMARC: estas tecnologias podem ajudar a confirmar que uma mensagem foi enviada através de uma infraestrutura autorizada de um domínio, mas não provam que a pessoa que controla aquela conta está legitimamente autorizada a pedir determinados dados. Com efeito, autenticar o domínio de email não é o mesmo que autenticar a legitimidade do pedido.

O aspecto mais preocupante deste incidente não é necessariamente o dinheiro existente na conta Revolut é a combinação de dados de identidade que, se forem efetivamente os reportados, significa que, um atacante pode usar nome, data de nascimento, morada, telefone, email, documento de identificação, fotografia/selfie e informação financeira para uma operação bem sucedida de roubo de identidade.

Por exemplo, contactar a vítima fazendo-se passar pela Revolut, por uma autoridade policial, por uma instituição financeira ou por outro serviço que já conheça os seus dados pessoais.

E atenção: a informação obtida neste incidente pode ser utilizada meses ou anos depois. Alterar a password não altera a data de nascimento, a morada histórica, o número do documento de identificação ou o facto de determinada pessoa ter sido cliente de uma instituição financeira.

Tem Revolut? O que deve fazer:

1. Não entrar em pânico e não começar a alterar indiscriminadamente todas as credenciais. Até ao momento, a informação pública disponível não indica que todas as contas Revolut estejam comprometidas. A própria empresa diz que notificou diretamente todos os clientes afectados.
2. Se receber uma comunicação da Revolut dizendo que foi afectado, leia-a directamente na aplicação ou através dos canais oficiais. Não use uma ligação existente no email para iniciar sessão: uma vítima deste incidente pode receber posteriormente um ataque de phishing que será, assim, um novo ataque.
3. Se recebeu uma notificação e foi efetivamente vítima deste incidente, esta notificação pode ser falsa e ter sido enviada por um agente malicioso que com esses dados reais, credibiliza a sua comunicação para procurar obter dados adicionais para ter acesso à sua conta: Não partilhe PIN, passwords ou códigos de acesso por telefone ou chat e não clique em ligações inesperadas enviadas por email ou SMS.
4. Deve rever regularmente as transacções na aplicação. Se aparecer uma operação que não reconhece, deve agir imediatamente.
5. Se suspeitar que os dados do cartão foram comprometidos, pode bloqueá-lo directamente na aplicação. A Revolut explica que o bloqueio impede novas utilizações desse cartão e pode ser posteriormente revertido.
6. Se existir suspeita de acesso à conta, altere imediatamente o código de acesso da Revolut.

E quanto ao documento de identificação?
Aqui a situação é mais complicada…
Se uma cópia do cartão de cidadão, passaporte ou carta de condução tiver sido efetivamente divulgada, quem for formalmente notificado como afetado deve guardar a comunicação da Revolut, incluindo a descrição do incidente e dos dados potencialmente expostos.
Deve também estar especialmente atento a tentativas de abertura de contas, contratação de serviços, pedidos de crédito ou outras formas de uso fraudulent da sua identidade.
Se surgir uma utilização indevida da identidade, deve ser feita participação às autoridades e conservados todos os elementos probatórios.

Ainda falta esclarecer como é que um pedido de acesso a dados financeiros e documentos de identificação foi considerado suficientemente legítimo apenas porque provinha de uma conta pertencente a um domínio governamental legítimo?

Uma instituição financeira não deveria depender exclusivamente da autenticidade técnica do email para validar pedidos extraordinários de dados.
Deveriam existir mecanismos adicionais de autenticação e autorização: confirmação por um segundo canal, validação da identidade do funcionário, confirmação da entidade solicitante, análise do âmbito do pedido e, sobretudo, princípios de mínimo privilégio e necessidade de conhecimento.
Claramente há um problema interno de procedimentos de segurança na Revolut que merece ser esclarecido.

Atualização: o incidente escala para extorsão e divulgação de dados

Nos dias seguintes à divulgação inicial, o caso evoluiu de forma significativa. Um grupo que se autodenomina “IAmNotAVillain” reivindicou a autoria do ataque e começou a publicar publicamente documentos de identificação e selfies de verificação (KYC) de clientes específicos, exigindo o pagamento de um resgate à Revolut sob ameaça de continuar a divulgar dados diariamente. É importante sublinhar que esta reivindicação de autoria, tal como as afirmações que se seguem, provém do próprio grupo atacante através de um canal de Telegram e de um site próprio, e não foi até ao momento confirmada de forma independente pela Revolut ou por qualquer autoridade.

Entre os dados já publicados, terão sido incluídos documentos associados a indivíduos identificados publicamente pelo grupo, nomeadamente o tenista Alexander Shevchenko, o CEO da Gamdom Felix Römer, e o futebolista georgiano Georges Mikautadze. Note-se que pelo menos um órgão de comunicação social já assinalou um erro de identificação por parte do grupo atacante relativamente a um alegado jogador do FC Barcelona, o que reforça a necessidade de tratar estas alegações com reserva até existir confirmação independente.

Quanto ao vector de ataque, alguma reportagem aponta para a utilização de um domínio de correio governamental italiano, associado à infraestrutura de PEC (Posta Elettronica Certificata), para o envio dos pedidos fraudulentos, e refere que as mensagens terão passado as verificações DKIM, levando a equipa de compliance da Revolut a tratá-las como legítimas. Esta ligação à PEC italiana não foi, contudo, confirmada por fontes independentes nem pela própria Revolut, que continua sem identificar publicamente a entidade governamental cujo domínio foi utilizado; a origem exacta do abuso mantém-se, por isso, por esclarecer.

O grupo atacante afirma ainda, sem confirmação externa até à data:
1. que a operação contra a Revolut decorreu durante cerca de seis meses;
2. que terá comprometido sistemas de forças de segurança italianas para enviar os pedidos de dados;
3. que possui cerca de 147 GB de informação proveniente do lado italiano, incluindo documentos internos e registos de comunicações de agentes;
4. que a maioria dos dados da Revolut provém da Suíça e de França, com um número mais limitado de registos de outros países, incluindo, segundo esta fonte, Portugal.

Um segundo grupo, autodenominado “Revolut Smilik”, reivindicou paralelamente a autoria do incidente original, contestando a versão do “IAmNotAVillain” e afirmando que este último terá apenas acesso a uma amostra limitada dos dados. A existência de reivindicações concorrentes e não verificadas é, em si mesma, um elemento a reter: nesta fase, qualquer número, identidade de atacante ou alegada vítima deve ser lida como afirmação de uma parte interessada em inflacionar o impacto do incidente, e não como facto estabelecido.

O que estes desenvolvimentos não alteram é a natureza técnica do problema: o vector continua a ser a exploração da confiança depositada num canal de comunicação institucional, e não uma falha nos sistemas centrais da Revolut. O que alteram é a urgência: a combinação de documento de identificação, selfie de verificação, IBAN e histórico de transacções torna este conjunto de dados particularmente valioso para operações de usurpação de identidade e de acesso a contas, e o anúncio de divulgações diárias sugere que mais titulares de dados serão expostos nos próximos dias.

Face a este agravamento, às recomendações já feitas acrescentam-se as seguintes:
1. quem tenha recebido uma notificação da Revolut deve considerar os seus dados como efectivamente expostos e ajustar o seu comportamento em conformidade, mesmo sem confirmação de publicação individual.
2. deve manter-se especial desconfiança perante qualquer contacto que se apresente como sendo da Revolut, de uma autoridade policial ou de uma instituição financeira nas próximas semanas, sobretudo se esse contacto invocar dados pessoais ou transacções reais para parecer credível.
3. nos casos em que o documento de identificação tenha sido exposto, deve equacionar-se contactar a autoridade emissora sobre a possibilidade de sinalização do documento.
4. Nas jurisdições em que tal seja possível, deve considerar-se a aplicação de um bloqueio (freeze) ao crédito, como medida preventiva contra abertura fraudulenta de contas ou contratos.

CpC continuará a acompanhar este caso, e sublinha que, enquanto as afirmações relativas à identidade do atacante, à dimensão exacta da fuga e ao envolvimento de sistemas de terceiros (incluindo a alegada componente italiana) não forem confirmadas por fontes independentes ou pelas próprias entidades visadas, devem ser tratadas como alegações e não como factos apurados.

Conclusão

O caso Revolut é um bom exemplo de que a cibersegurança não é apenas firewall, MFA, antivírus ou encriptação. Pode existir uma infraestrutura tecnicamente robusta e, ainda assim, um trabalhador pode ser enganado através de um processo que tem toda a aparência de ser legítimo.

Neste caso, o atacante aparentemente não precisou de quebrar a segurança técnica da Revolut. Explorou a confiança depositada numa identidade aparentemente legítima. A escalada subsequente, com divulgação pública de dados e exigência de resgate, mostra também como um incidente inicialmente descrito como limitado pode evoluir rapidamente para uma situação de extorsão em larga escala, cuja verdadeira dimensão só será conhecida com o tempo e, possivelmente, nunca de forma completa.

Para os clientes, a principal recomendação neste momento é simples: verificar directamente na aplicação se foram notificados, manter vigilância sobre a conta e, sobretudo, assumir que qualquer tentativa futura de contacto utilizando dados pessoais verdadeiros pode ser uma tentativa de fraude.

A Revolut disponibiliza também mecanismos para bloquear cartões, alterar o código de acesso e denunciar fraude através da própria aplicação.