< the skull CASO REVOLUT ============ 2026-09-14 A Revolut entregou informações pessoais de clientes a alguém que se apresentou como uma autoridade governamental. A solicitação era falsa, mas o endereço usado pertencia a um domínio oficial. A empresa reconheceu o episódio à imprensa em setembro de 2026. Entre os dados potencialmente divulgados estavam documentos de identidade e históricos de transações. O que me incomoda neste caso é a distância entre duas promessas que costumamos tratar como se fossem a mesma coisa: proteger meu dinheiro e proteger minha vida privada. Uma conta pode continuar funcionando, sem nenhum saldo roubado, enquanto informações que identificam seu dono já estão nas mãos de outra pessoa. Tenho visto essa notícia circular pela IndieWeb. Faz sentido que desperte atenção entre pessoas preocupadas com autonomia digital, mas a indignação não dispensa cuidado com os fatos. Não há confirmação de venda de dados, de exposição de todos os clientes ou de uma invasão aos sistemas da Revolut. O episódio conhecido é uma divulgação indevida por meio de um processo que deveria atender solicitações legítimas. O que aconteceu e o que ainda não sabemos ========================================= Avisos enviados a clientes começaram a circular publicamente em setembro. O investigador ZachXBT divulgou o caso em seu canal, apontando para uma publicação de Mark Karpelès, que se identificou como afetado. Em 12 de setembro, o International Cyber Digest reuniu as informações que motivaram esta leitura. Segundo o aviso compartilhado, a solicitação veio de uma conta não autorizada dentro da infraestrutura de um domínio governamental legítimo. A mensagem trazia credenciais válidas de autenticação do domínio. A Revolut atendeu ao pedido e posteriormente verificou com a agência que ele não era legítimo. Um porta-voz confirmou ao The Block que uma terceira parte usou um endereço em domínio governamental para apresentar pedidos fraudulentos. A empresa informou ter bloqueado o remetente e comunicado o episódio à agência, à polícia e aos reguladores. Disse que um número limitado de clientes foi afetado e que seus sistemas e os recursos dos clientes não foram comprometidos. Essa última garantia é uma declaração da Revolut. Não equivale a uma auditoria independente publicada. Até a consulta de 14 de setembro de 2026, as fontes examinadas não identificavam a agência, o número exato de clientes nem a data em que os arquivos foram enviados. Também não explicavam como o terceiro conseguiu utilizar aquela conta. São lacunas relevantes: sem essas informações, não conseguimos avaliar completamente a duração da exposição, sua extensão ou se outras instituições receberam pedidos semelhantes. ZachXBT sugeriu que o ataque parecia direcionado a usuários com patrimônio elevado. É uma avaliação do investigador, não uma seleção de vítimas confirmada pela empresa. Tampouco há base, nesses relatos, para afirmar que todo cliente que comprou Bitcoin pela Revolut foi atingido. Por que um email legítimo pode carregar uma fraude ================================================== Um email autenticado não comprova a autoridade de quem pede os dados. Um email autenticado não comprova a autoridade de quem pede os dados. Gravura externa de Gerrit Halfmann, Pixelarticons, licença MIT. Quando pensamos em phishing, imaginamos um domínio parecido com o verdadeiro, uma letra trocada ou um remetente claramente estranho. Aqui, o problema descrito é diferente: a mensagem utilizava o domínio real de uma autoridade. Isso ajuda a entender como uma mensagem pode passar por verificações técnicas e continuar sendo perigosa. A autenticação de email procura responder perguntas sobre o envio e o domínio. Ela não decide se a pessoa que apertou o botão tinha autorização para pedir meu passaporte. SPF verifica se um servidor está autorizado a enviar mensagens para determinado domínio usado no transporte do email. DKIM permite conferir uma assinatura vinculada a um domínio e a integridade das partes assinadas. DMARC utiliza o alinhamento entre o domínio visível do remetente e resultados de SPF ou DKIM para aplicar a política publicada pelo domínio. São mecanismos úteis contra falsificação de remetentes, mas não substituem a validação de uma solicitação. O RFC 9989, publicado em maio de 2026, deixa esse limite claro: autenticar o uso de um domínio não autentica a parte individual do endereço nem garante a qualidade ou a legitimidade do conteúdo. No caso Revolut, os avisos falam em autenticação válida do domínio, mas não publicam os cabeçalhos da mensagem. Portanto, não dá para afirmar que SPF, DKIM e DMARC passaram todos, individualmente. Uma comparação simples: reconhecer que uma ligação saiu do telefone de uma repartição não prova que quem está falando pode requisitar os documentos de um cidadão. Ainda é preciso verificar quem pede, a finalidade e a autorização para aquele pedido específico. Eu esperaria que informações tão sensíveis exigissem essa segunda verificação antes do envio. O relato público mostra que a fraude foi descoberta depois; não fornece detalhes suficientes para reconstruir cada controle interno ou dizer exatamente qual pessoa falhou. O que os arquivos podem revelar =============================== Documentos e registros de contato podem facilitar tentativas de personificação. Documentos e registros de contato podem facilitar tentativas de personificação. Gravura externa de Gerrit Halfmann, Pixelarticons, licença MIT. O aviso divulgado lista dados de identificação e contato, como nome, nascimento, ocupação, endereço, telefone e email. Também menciona cópias de documentos, selfie de verificação e registros financeiros: extratos, IBAN, informações da conta, saques e histórico de transações, incluindo Bitcoin. A lista descreve categorias potencialmente compartilhadas; não prova que todas foram enviadas para cada cliente. Cada categoria tem uma utilidade diferente para um criminoso. Um endereço permite localizar alguém. Um extrato ajuda a criar uma abordagem convincente. Uma cópia de documento pode ser usada em tentativas de personificação. Reunidas, essas informações oferecem contexto para golpes que parecem conhecer a vida da vítima. Imagine receber uma mensagem que menciona uma transferência real, seu nome completo e os últimos dados de um documento. Ela pode parecer uma continuação legítima de um atendimento. O detalhe verdadeiro funciona como argumento de confiança, mesmo quando o pedido seguinte é fraudulento. Esse é um risco plausível da exposição, não a confirmação de um golpe já cometido contra os clientes deste episódio. Há ainda uma distinção sobre a selfie. O aviso exclui a telemetria biométrica facial, mas inclui a imagem de verificação entre os dados potencialmente enviados. Uma foto do rosto e um modelo biométrico derivado dela são coisas diferentes. A ausência do segundo não torna a primeira irrelevante nem demonstra que será possível usá-la para vencer qualquer verificação de identidade. Na definição explicada pelo regulador britânico ICO, uma violação de dados pessoais também pode envolver divulgação ou acesso não autorizado. Não é necessário que alguém tenha instalado malware ou invadido um banco de dados. A informação enviada ao destinatário errado já merece investigação e avaliação de impacto. Por que o histórico de Bitcoin importa ====================================== Bitcoin não oferece anonimato automático. As transações registradas na blockchain são públicas, e os endereços não trazem, por si só, o nome civil de seus usuários. A privacidade depende em parte da dificuldade de estabelecer essas associações. Um serviço financeiro pode conhecer a pessoa por trás de operações que, vistas isoladamente na rede, aparecem como movimentações entre endereços. Quando registros internos relacionam uma identidade a saques ou transferências, eles podem ajudar a conectar atividade financeira a uma pessoa identificável. O alcance dessa associação depende do conteúdo efetivamente divulgado. Nem toda operação feita dentro de um aplicativo corresponde a uma transação individual na blockchain, e um registro de conta não revela automaticamente todas as carteiras de seu dono. Seria exagerado dizer que o incidente tornou público todo o patrimônio de cada afetado. Mesmo assim, a combinação merece atenção. Saber quem é alguém, onde mora e quais movimentações realizou pode ser mais perigoso do que conhecer apenas uma dessas informações. Não há, nas fontes consultadas, confirmação de violência ou extorsão decorrente deste caso. Tratar essas possibilidades como acontecimentos seria acrescentar medo sem evidência. A coleta de documentos também cria uma obrigação de cuidado =========================================================== KYC é a sigla de Know Your Customer, expressão usada para os procedimentos de identificação de clientes. Instituições financeiras precisam cumprir exigências de prevenção à lavagem de dinheiro e outros deveres regulatórios. A própria Revolut explica que pode solicitar documentos para verificar pessoas e operações. Isso contextualiza a coleta. Não justifica a entrega a um impostor. Tenho dificuldade com a ideia de que acumular mais informações seja, por si só, sinônimo de segurança. Para o cliente, entregar documentos pode ser uma condição de acesso ao serviço. Para a instituição, cada cópia mantida aumenta o material que precisa ser protegido e controlado, inclusive nos processos administrativos de divulgação. A discussão útil não se encerra em dizer que todo KYC é inútil ou que qualquer crítica ignora a lei. É possível reconhecer a obrigação de identificar clientes e exigir limites para a coleta, acesso restrito, retenção justificada e verificação rigorosa de destinatários. A finalidade declarada não elimina os riscos do armazenamento. Também não dá para presumir que encerrar a conta apague imediatamente esse acervo. Na página de suporte do Reino Unido, a Revolut informa que certos dados precisam ser mantidos por pelo menos seis anos e podem permanecer por mais tempo por motivos legais. Prazos e regras variam conforme a entidade e a jurisdição. Quem deseja sair precisa verificar a política aplicável à própria conta, não uma regra encontrada para outro país. O direito de pedir exclusão tampouco significa que todo dado terá de ser apagado sem exceção. Uma solicitação concreta pode perguntar quais categorias permanecem, por quanto tempo e com qual fundamento. A fraude não começou com a Revolut ================================== Em novembro de 2024, o FBI alertou sobre o uso de emails governamentais comprometidos para apresentar falsas solicitações emergenciais de dados a empresas. Esse tipo de pedido procura explorar procedimentos destinados a situações urgentes. O antecedente ajuda a entender o risco de confiar apenas na aparência institucional de um remetente. Não prova que a solicitação à Revolut era emergencial. As fontes públicas examinadas não estabelecem esse detalhe, e não devemos importar para este incidente tudo o que sabemos sobre ataques parecidos. A orientação geral do FBI sobre fraudes por email inclui verificar pedidos por um canal independente. Aplicada a dados pessoais, a recomendação faz sentido: confirmar a autoridade por um contato previamente conhecido, em vez de usar o telefone ou o link fornecido na própria mensagem suspeita. Essa é uma recomendação de controle, não uma descrição do procedimento que a Revolut adotava. Outros cuidados seriam limitar os dados à finalidade comprovada e registrar quem autorizou a divulgação. A pergunta importante para uma instituição não é somente se o email chegou de um domínio verdadeiro. É se aquela pessoa pode receber aqueles arquivos naquela situação. O que isso tem a ver com a IndieWeb =================================== A IndieWeb parte da vontade de ter mais controle sobre a própria presença digital. Manter um site próprio, publicar fora de plataformas fechadas e reduzir dependências não resolve todos os problemas de privacidade, mas torna algumas decisões menos dependentes de empresas. Vejo uma ligação direta com o desconforto causado por este caso. Podemos escolher o que publicamos em um blog e ainda depender de terceiros para guardar documentos, movimentações e informações pessoais que não queremos tornar públicas. Ter domínio próprio não nos dá controle sobre o processo de divulgação de dados de um banco. Essa limitação não invalida a autonomia digital. Ela ajuda a enxergá-la sem fantasia. O controle varia conforme o contexto, e há relações em que o usuário não consegue simplesmente hospedar sua própria alternativa. Por isso, reduzir dados desnecessários e cobrar responsabilidade institucional continua importante mesmo para quem já saiu das grandes redes sociais. Também prefiro que a circulação independente de notícias preserve a diferença entre evidência e opinião. Um post indignado pode apontar uma falha real e exagerar sua extensão na mesma frase. Compartilhar a origem, conferir a resposta posterior da empresa e corrigir uma manchete imprecisa fazem parte do cuidado com a informação. Como agir sem cair em um segundo golpe ====================================== Proteção da conta e proteção de dados pessoais exigem cuidados diferentes. Proteção da conta e proteção de dados pessoais exigem cuidados diferentes. Gravura externa de Gerrit Halfmann, Pixelarticons, licença MIT. Quem recebeu um aviso deve primeiro confirmar sua autenticidade pelo aplicativo ou por um canal oficial acessado diretamente. Uma notícia de exposição cria uma oportunidade para mensagens falsas de suporte, promessas de remoção de dados e pedidos de nova verificação. Vale guardar o aviso e solicitar esclarecimentos sobre a própria situação: quais dados foram divulgados, quando ocorreu o envio e quais medidas de proteção estão disponíveis. O contato com o encarregado de proteção de dados pode ajudar a formalizar essas perguntas. A Revolut publica o endereço dpo@revolut.com [1] em suas páginas de privacidade. Reforçar a proteção da conta e do email continua sendo prudente. Mas mudar uma senha não recolhe um documento já enviado. São problemas diferentes, que exigem respostas diferentes. Eu teria atenção especial a mensagens que demonstram conhecer transações verdadeiras e em seguida pedem códigos, acesso remoto ou transferências para uma suposta conta segura. Não enviar novas cópias de documentos por contatos improvisados é uma precaução importante. Havendo tentativa de fraude ou ameaça, preserve as evidências e procure os canais oficiais adequados ao seu país. Quem não recebeu uma notificação não deve concluir, apenas pela notícia, que seus dados foram enviados. Também não precisa aceitar tranquilizações vagas. Pode acompanhar as atualizações e pedir informação individual pelos canais da instituição. A segurança precisa incluir o destino dos dados =============================================== O dinheiro continuar na conta é relevante. Para mim, porém, isso não encerra uma resposta sobre privacidade. Quero saber também quem recebeu meus documentos e o que foi feito para impedir uma divulgação indevida. O caso Revolut expõe um problema de confiança em solicitações aparentemente oficiais. Sistemas de autenticação ajudam a verificar domínios; decisões sobre autoridade, finalidade e acesso precisam de outros controles. Até que a investigação esclareça os detalhes, essa é a conclusão sustentada pelos relatos públicos, sem transformar hipóteses em fatos. Uma instituição que exige conhecer seu cliente precisa ser igualmente cuidadosa ao decidir quem pode conhecer os dados dele. Fontes ====== Apuração consultada em 14 de setembro de 2026. Os relatos descrevem uma investigação em andamento. International Cyber Digest · Relato que motivou o artigo [2] The Block · Confirmação da Revolut e alcance ainda não divulgado [3] ZachXBT · Alerta público e referência ao aviso compartilhado [4] IETF · RFC 9989 e limites da autenticação DMARC [5] FBI e CISA · Alerta de 2024 sobre falsas solicitações emergenciais [6] FBI · Verificação independente em fraudes por email [7] ICO · Definição de violação de dados pessoais [8] Bitcoin.org · Transparência das transações e privacidade [9] Revolut · Identificação de clientes e restrições regulatórias [10] Revolut Reino Unido · Retenção e solicitação de exclusão [11] Revolut · Informações e canais de privacidade [12] IndieWeb · Autonomia e controle da presença digital [13] Pixelarticons · Imagens externas de Gerrit Halfmann com licença MIT [14] Links: [1] mailto:dpo@revolut.com [2] https://www.internationalcyberdigest.com/revolut-gave-away-customers-data/ [3] https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516 [4] https://t.me/investigations/363 [5] https://datatracker.ietf.org/doc/html/rfc9989#section-4.2 [6] https://www.ic3.gov/CSA/2024/241104.pdf [7] https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/business-email-compromise [8] https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/ [9] https://bitcoin.org/en/protect-your-privacy [10] https://www.revolut.com/blog/post/why-does-revolut-restrict-accounts/ [11] https://help.revolut.com/help/profile-and-plan/security-and-personal-data/personal-data-queries/what-if-i-want-revolut-to-erase-all-my-data/ [12] https://www.revolut.com/privacy-policy/ [13] https://indieweb.org/why [14] https://github.com/halfmage/pixelarticons < the skull