Apesar da gravidade do que aconteceu com a Revolut, importa – desde logo – clarificar e tranquilizar os seus utilizadores que não existem, até agora, indícios de um ataque directo aos sistemas da Revolut ou uma intrusão que tenha permitido ao atacante entrar nas contas dos seus clientes. O problema – aparentemente – residiu numa falha no processo de validação de pedidos de informação: a Revolut recebeu pedidos fraudulentos que aparentavam vir de uma entidade governamental legítima e forneceu informação de clientes a um terceiro não autorizado.

A própria Revolut classificou o incidente como uma “sophisticated external impersonation scam” e não como uma intrusão propriamente. Aparentemente, os pedidos fraudulentos utilizaram um endereço de email pertencente a um domínio legítimo de uma agência governamental e passaram as verificações técnicas do domínio.

A dimensão exacta do incidente continua por esclarecer. A Revolut aponta para um “very limited group of customers”, mas não disse quantos eram nem identificou publicamente a entidade governamental cujo domínio foi abusado e, sobretudo, não indicou de que forma é que este abuso tinha sido realizado.

Quanto aos dados acedidos e dos quais uma amostra foi publicada na dark web, tratam-se de datas de nascimento, moradas, endereços de email, números de telefone e cópias de documentos de identificação. Contudo, Informação posterior atribuída à comunicação enviada pela Revolut aos clientes afectados aponta para um conjunto potencialmente mais amplo, incluindo nomes completos, profissão, documentos de identificação, selfies de verificação, IBAN, extractos, registos de levantamentos e histórico de transacções, incluindo transacções relacionadas com Bitcoin.

Há aqui uma questão de cibersegurança particularmente interessante: Não foi necessário “hackear” a Revolut no sentido tradicional. O atacante explorou a confiança existente no processo de resposta a pedidos governamentais. O facto de a mensagem provir de um domínio governamental legítimo tornou o pedido aparentemente credível. Segundo a Revolut, os pedidos apresentavam autenticação técnica válida do domínio.

Isto demonstra uma limitação importante do SPF, DKIM e DMARC: estas tecnologias podem ajudar a confirmar que uma mensagem foi enviada através de uma infraestrutura autorizada de um domínio, mas não provam que a pessoa que controla aquela conta está legitimamente autorizada a pedir determinados dados. Com efeito, autenticar o domínio de email não é o mesmo que autenticar a legitimidade do pedido.

O aspecto mais preocupante deste incidente não é necessariamente o dinheiro existente na conta Revolut é a combinação de dados de identidade que, se forem efetivamente os reportados, significa que, um atacante pode usar nome, data de nascimento, morada, telefone, email, documento de identificação, fotografia/selfie e informação financeira para uma operação bem sucedida de roubo de identidade.

Por exemplo, contactar a vítima fazendo-se passar pela Revolut, por uma autoridade policial, por uma instituição financeira ou por outro serviço que já conheça os seus dados pessoais.

E atenção: a informação obtida neste incidente pode ser utilizada meses ou anos depois. Alterar a password não altera a data de nascimento, a morada histórica, o número do documento de identificação ou o facto de determinada pessoa ter sido cliente de uma instituição financeira.

Tem Revolut? O que deve fazer:

1. Não entrar em pânico e não começar a alterar indiscriminadamente todas as credenciais. Até ao momento, a informação pública disponível não indica que todas as contas Revolut estejam comprometidas. A própria empresa diz que notificou diretamente todos os clientes afectados.
2. Se receber uma comunicação da Revolut dizendo que foi afectado, leia-a directamente na aplicação ou através dos canais oficiais. Não use uma ligação existente no email para iniciar sessão: uma vítima deste incidente pode receber posteriormente um ataque de phishing que será, assim, um novo ataque.
3. Se recebeu uma notificação e foi efetivamente vítima deste incidente, esta notificação pode ser falsa e ter sido enviada por um agente malicioso que com esses dados reais, credibiliza a sua comunicação para procurar obter dados adicionais para ter acesso à sua conta: Não partilhe PIN, passwords ou códigos de acesso por telefone ou chat e não clique em ligações inesperadas enviadas por email ou SMS.
4. Deve rever regularmente as transacções na aplicação. Se aparecer uma operação que não reconhece, deve agir imediatamente.
5. Se suspeitar que os dados do cartão foram comprometidos, pode bloqueá-lo directamente na aplicação. A Revolut explica que o bloqueio impede novas utilizações desse cartão e pode ser posteriormente revertido.
6. Se existir suspeita de acesso à conta, altere imediatamente o código de acesso da Revolut.

E quanto ao documento de identificação?
Aqui a situação é mais complicada…
Se uma cópia do cartão de cidadão, passaporte ou carta de condução tiver sido efetivamente divulgada, quem for formalmente notificado como afetado deve guardar a comunicação da Revolut, incluindo a descrição do incidente e dos dados potencialmente expostos.
Deve também estar especialmente atento a tentativas de abertura de contas, contratação de serviços, pedidos de crédito ou outras formas de uso fraudulent da sua identidade.
Se surgir uma utilização indevida da identidade, deve ser feita participação às autoridades e conservados todos os elementos probatórios.

Ainda falta esclarecer como é que um pedido de acesso a dados financeiros e documentos de identificação foi considerado suficientemente legítimo apenas porque provinha de uma conta pertencente a um domínio governamental legítimo?

Uma instituição financeira não deveria depender exclusivamente da autenticidade técnica do email para validar pedidos extraordinários de dados.
Deveriam existir mecanismos adicionais de autenticação e autorização: confirmação por um segundo canal, validação da identidade do funcionário, confirmação da entidade solicitante, análise do âmbito do pedido e, sobretudo, princípios de mínimo privilégio e necessidade de conhecimento.
Claramente há um problema interno de procedimentos de segurança na Revolut que merece ser esclarecido.

Conclusão
O caso Revolut é um bom exemplo de que a cibersegurança não é apenas firewall, MFA, antivírus ou encriptação.

Pode existir uma infraestrutura tecnicamente robusta e, ainda assim, um trabalhador pode ser enganado através de um processo que tem toda a aparência de ser legítimo.

Neste caso, o atacante aparentemente não precisou de quebrar a segurança técnica da Revolut. Explorou a confiança depositada numa identidade aparentemente legítima.

Para os clientes Revolut, as principais recomendações, neste momento são simples:
1. verificar directamente na aplicação se foi notificados
2. manter vigilância sobre a conta e, sobretudo,
3. assumir que qualquer tentativa futura de contacto utilizando dados pessoais verdadeiros pode ser uma tentativa de fraude.

A Revolut disponibiliza também mecanismos para bloquear cartões, alterar o código de acesso e denunciar fraude através da própria aplicação.