VKSECURITY Revolut entregou passaporte e extrato de clientes a um e-mail que parecia do governo
Ninguém invadiu a Revolut. Criminosos apenas pediram os dados por e-mail, usando um domínio de órgão público com autenticação válida, e a fintech atendeu. Saíram cópias de passaporte, selfies de verificação e o histórico completo de transações. O caso é um roteiro do que toda empresa deveria revisar no seu processo de atender pedidos de autoridade.
A Revolut, fintech britânica com cerca de 70 milhões de clientes, confirmou um incidente de segurança que não teve invasão, não teve malware e não teve falha técnica. Teve um e-mail bem-feito.
Como aconteceu
Criminosos enviaram à empresa um pedido de informações que aparentava vir de um órgão público. O detalhe que fez funcionar: a mensagem partiu de uma conta com credenciais válidas de um domínio governamental, ou seja, passou nas verificações automáticas de autenticidade do e-mail. Para quem recebeu, parecia uma requisição legítima de autoridade — coisa que instituições financeiras atendem rotineiramente.
E a empresa atendeu. Foram entregues, sobre um número que a Revolut descreve como “muito limitado” de clientes:
- cópias de passaporte e de carteira de motorista;
- selfies de verificação de identidade (aquelas de “segure o documento perto do rosto”);
- nome completo, data de nascimento, ocupação, endereço, e-mail e telefone;
- extratos com IBAN e o histórico completo de transações, incluindo movimentações em Bitcoin.
A Revolut afirma que os sistemas não foram comprometidos, que os fundos dos clientes estão seguros, e que bloqueou o endereço de origem, avisou o órgão público envolvido, as autoridades e os reguladores.
Por que este caso é diferente
Vazamento por invasão a gente entende: houve uma falha técnica, corrige-se a falha. Aqui, todos os sistemas funcionaram como deveriam. O que falhou foi o processo humano de decidir a quem entregar dados — e esse processo existe em toda empresa, não só em banco.
Pense nos pedidos que a sua empresa recebe e atende sem grande cerimônia: uma solicitação de dados de funcionário que parece vir de um órgão trabalhista; um pedido de cadastro de cliente que parece vir de uma autoridade fiscal; uma requisição de documentos que chega “da Justiça”. Quantas dessas são verificadas por fora do e-mail que as trouxe?
O roteiro que evita isso
Quatro regras que cabem numa página e valem para qualquer empresa:
- Canal de retorno independente. Nunca confirme o pedido respondendo ao e-mail que o trouxe. Ligue para o número oficial do órgão, obtido no site dele — nunca o telefone que consta na mensagem.
- Autenticação do e-mail não é autenticação do pedido. O caso Revolut prova o ponto: o domínio era real e passou nas checagens. Isso diz de onde a mensagem saiu, não se o pedido é legítimo.
- Duas pessoas para dado sensível. Entrega de documento de identidade, biometria ou histórico financeiro não deveria depender de uma única decisão. Aprovação em dupla é barata e corta a maior parte do risco.
- Registre tudo. Quem pediu, com que fundamento legal, o que foi entregue, quem autorizou. É o que a LGPD espera do controlador e é o que permite responder rápido quando algo dá errado.
O que a LGPD diz
Para uma empresa brasileira, um episódio assim é tratamento irregular de dados pessoais, com dois agravantes. Primeiro, a selfie de verificação é dado biométrico, classificado como sensível pelo art. 5º, II, com exigências mais rigorosas. Segundo, a lei impõe ao controlador o dever de segurança (art. 46) e a comunicação do incidente à ANPD e aos titulares (art. 48) quando houver risco relevante.
E a autoridade brasileira vem cobrando exatamente esse tipo de processo: os temas prioritários de fiscalização para 2026 e 2027 incluem direitos dos titulares e dados sensíveis.
O golpe que funcionou contra uma fintech de 70 milhões de clientes não exigiu nenhuma habilidade técnica. Exigiu apenas que alguém, do outro lado, confiasse no remetente sem confirmar por fora. Vale perguntar hoje quem, na sua empresa, tem autonomia para responder a um pedido assim — e qual é o procedimento que essa pessoa segue.
Fontes
- Revolut — comunicado sobre o incidente e central de segurança: revolut.com
- TechCrunch — Revolut confirms customer data breach through fake government requests (12/09/2026): techcrunch.com
- Lei nº 13.709/2018 (LGPD) — arts. 5º, 46 e 48: planalto.gov.br
- Foto de capa: cartão Revolut Premium — MysticalEel07, CC BY-SA 4.0, via Wikimedia Commons
- Segunda imagem: logotipo da Revolut — Revolut, domínio público, via Wikimedia Commons
