Na manhã de hoje, 20.10.2026, uma falha num único centro de dados em Londres deixou milhões de clientes do Revolut, em vários países europeus, sem acesso ao seu próprio dinheiro. Tudo indica que se tratou de um incidente técnico. Mas o episódio merece ser lido também por outra lente: a de quem planeia ataques abaixo do limiar da guerra. Porque, se alguém quisesse testar a fragilidade financeira de um país europeu sem disparar um tiro, dificilmente desenharia algo muito diferente.

Mas o que é que aconteceu?

A região europe-west2 da Google Cloud, em Londres, sofreu uma falha a partir das 06h08 UTC, que a Google atribuiu mais tarde a um “evento de energia” na zona europe-west2-b. No Revolut ficaram inoperacionais os pagamentos com cartão, as transferências, os levantamentos em caixas automáticas, o câmbio de moeda e a negociação de ações. Clientes do Lloyds, do HSBC e do Bank of Scotland também reportaram problemas, tal como os tribunais britânicos e o NHS. A Google recomendou aos clientes afetados que migrassem as cargas de trabalho para outra região.

Nas redes sociais multiplicaram-se relatos de pessoas retidas em bombas de gasolina, em estações de comboio ou em caixas de supermercado. A Revolut garantiu que o dinheiro e os dados dos clientes estavam seguros. Seguros, certo… mas inacessíveis durante horas.

O contexto torna o caso ainda mais significativo. Desde 13 de julho, o Banco de Inglaterra, a PRA e a FCA supervisionam diretamente a Google Cloud, a AWS, a Microsoft e a Oracle como “terceiros críticos” do sistema financeiro britânico. A 8 de outubro, há apenas doze dias, os 38 maiores bancos e operadores de mercado do Reino Unido realizaram, sob coordenação do Banco de Inglaterra, um exercício de simulação precisamente numa disrupção global dos serviços de cloud. E faz hoje exatamente um ano que uma falha da AWS afetou, entre milhares de empresas, o grupo Lloyds.

A hipótese híbrida é absurda?

A guerra híbrida vive da ambiguidade quanto ao seu autor: O seu objetivo não é destruir, mas perturbar, testar e semear desconfiança nas democracias, mantendo sempre a possibilidade de negação plausível. Os alvos preferenciais são os pontos de concentração: cabos submarinos, subestações elétricas, redes ferroviárias, logística.

A Europa tem acumulado precedentes sucessivos e cada vez mais graves e frequentes. Os cabos e gasodutos danificados no Báltico por navios que arrastaram âncoras, a sabotagem coordenada da rede TGV em França na véspera dos Jogos Olímpicos de 2024, ou o incêndio de um armazém em Londres, em 2024, executado por indivíduos recrutados por estruturas ligadas ao Estado russo, mostram que a infraestrutura física europeia já é um teatro de operações. O incêndio na subestação que paralisou Heathrow em março de 2025 é igualmente instrutivo: a investigação antiterrorista acabou por excluir sabotagem, mas durante dias a hipótese esteve em cima da mesa: e isso, por si só, já produz efeitos.

A cloud acrescenta uma nova camada. Bancos que há uma década operavam dezenas de centros de dados próprios dependem hoje de um punhado de fornecedores, concentrados em poucas regiões geográficas e dependentes de um setor demasiado concentrado de uma rede elétrica localizada e amplamente conhecida e publicamente mapeada.

O que pode ter acontecido com este incidente Revolut de 20.10.2026?

Imagine-se um adversário estatal que pretende medir a resiliência financeira britânica. Não tem de entrar nos sistemas do banco nem da Google. Basta-lhe atingir aquilo que alimenta a infraestrutura: uma subestação, uma linha de alimentação, os sistemas de gestão de energia do edifício ou as unidades de alimentação ininterrupta. O meio pode ser físico (sabotagem, incêndio), lógico (intrusão nos sistemas de controlo industrial) ou humano (um colaborador recrutado). O resultado visível seria idêntico ao de hoje: “um evento de energia numa zona”.

A escolha do momento também é uma forma de comunicar. Agir doze dias depois de um exercício nacional sobre falhas de cloud e no aniversário de um incidente semelhante, seria uma forma de dizer: “vimos o vosso ensaio; agora vejamos a realidade”.

Seguir-se-ia a fase de amplificação. Contas nas redes sociais difundiriam relatos de clientes desesperados, rumores de insolvência e mensagens do tipo “retire o seu dinheiro enquanto pode”. Num banco digital, sem balcões nem presença física, a confiança é o único ativo tangível do cliente.

Por fim, o adversário observaria e registaria: que instituições conseguiram transferir os serviços para outra região, quanto tempo demoraram, como comunicaram os reguladores, se a página de estado do banco refletia a realidade, como reagiram os mercados. Trata-se de reconhecimento operacional a custo quase nulo, preparando uma ação futura mais séria, possivelmente coordenada com outras frentes.

O que a própria Google recomenda aos bancos e não foi feito?

Há um ponto em que a hipótese técnica e a hipótese híbrida convergem: ambas exploram pontos únicos de falha. E, neste domínio, as recomendações do próprio fornecedor, a Google, são claras.

O Google Cloud Well-Architected Framework inclui uma perspetiva dedicada aos serviços financeiros. Nela, a Google recomenda que as aplicações financeiras críticas utilizem uma topologia distribuída por pelo menos duas regiões e por três zonas em cada região. O documento acrescenta que esta abordagem é frequentemente exigida pelos reguladores, porque a maioria das jurisdições considera plausível que a falha de uma zona provoque uma segunda falha grave. Recomenda ainda serviços de armazenamento multirregionais, como o Spanner e o Cloud Storage, e a distribuição do tráfego entre regiões, com balanceamento de carga em cada uma.

Destas orientações decorrem cinco salvaguardas que seria razoável esperar numa instituição com a dimensão do Revolut:
1. implementação em, pelo menos, duas regiões;
2. três zonas por região;
3. bases de dados e armazenamento replicados entre regiões;
4. operação em modo ativo-ativo, com transferência automática de tráfego e 5. planos de recuperação de desastre testados regularmente, com capacidade de reserva dimensionada para absorver a carga total.

Um pormenor – em particular – merece atenção: Segundo a Google, a falha de hoje afetou uma única zona. Uma arquitetura distribuída por três zonas numa só região (muito aquém da topologia multirregional recomendada) deveria, em princípio, ter resistido. Não sabemos como está organizada a infraestrutura do Revolut, e o banco não o explicou. Mas o facto de a falha de uma zona ter paralisado serviços em vários países levanta dúvidas quanto à resiliência da sua infraestrutura.

Porque podem as boas práticas não ter sido seguidas?

Na ausência de uma análise pós-incidente, só é possível enunciar hipóteses.

1. A primeira é o custo: manter capacidade ativa em várias regiões pode duplicar ou triplicar a fatura de infraestrutura.
2. A segunda é regulatória: a própria Google reconhece que, para as instituições financeiras, a escolha da região de recurso pode ser limitada por regras de soberania e residência de dados.
3. A terceira é a complexidade: sistemas transacionais exigem consistência rigorosa dos dados, e replicar saldos e pagamentos em tempo real entre regiões é tecnicamente exigente.

Há ainda hipóteses menos visíveis. A arquitetura pode ser redundante no papel, mas conter dependências ocultas: um serviço de autenticação, uma base de dados principal ou um componente de terceiros alojado numa única zona. A transferência automática pode nunca ter sido testada em condições reais. E, quando milhares de clientes de uma mesma região tentam migrar ao mesmo tempo, a capacidade disponível nas restantes zonas pode simplesmente esgotar-se.

Qualquer destas fragilidades seria precisamente o tipo de informação que um adversário híbrido procuraria recolher. Resiliência técnica e segurança nacional são, cada vez mais, a mesma conversa.

O que é que não sabemos?

Importa ser claro: nada do que é público até agora aponta para um ataque. Nem o Revolut nem a Google mencionaram um ciberataque, e a falha é descrita como uma interrupção de serviço. A Google prometeu publicar uma análise após a investigação interna. Há, contudo, aspetos que merecem esclarecimento. Durante a manhã, a página de estado do Revolut chegou a indicar todos os sistemas como “operacionais”, enquanto os clientes relatavam pagamentos falhados. E continua por explicar por que razão a falha de uma única zona, numa região concebida com várias zonas, deixou um banco global inoperacional em vários países.

Algumas lições para Portugal e para a União Europeia

O Revolut tem centenas de milhares de clientes em Portugal, que operam com uma licença bancária europeia mas dependem de infraestrutura situada fora da União. O Regulamento DORA prevê a supervisão europeia dos fornecedores críticos de tecnologia; este episódio será um teste à sua eficácia real. Ficam várias perguntas:
1. os bancos que servem clientes portugueses seguem as orientações multirregionais que os próprios fornecedores recomendam e têm planos testados de recuperação noutra região ou noutro fornecedor?
2. qual é o tempo máximo tolerado de indisponibilidade de serviços de pagamento essenciais?
3. E que papel deve o numerário continuar a ter como recurso de último reduto?

Hoje, provavelmente, tratou-se apenas de um problema elétrico. Mas a guerra híbrida aproveita exatamente aquilo que as falhas acidentais revelam. Quem nos ameaça também leu as notícias desta manhã.