O Domínio Era Real. A Autoridade por Trás Dele Não Era
A Revolut confirmou, a 12 de setembro, que divulgou dados de clientes depois de receber aquilo a que chamou "um esquema sofisticado de usurpação de identidade externa", no qual um atacante usou o próprio domínio de email de uma agência governamental legítima para submeter pedidos fraudulentos. O comunicado da Revolut afirmou que o pedido continha credenciais que passaram os próprios controlos da empresa, e a Revolut já bloqueou o endereço e alertou as autoridades e os reguladores. A empresa não identificou a agência cujo domínio foi usado, nem esclareceu se o próprio domínio foi comprometido ou se o atacante encontrou outra forma de enviar a partir dele.
A Revolut foi clara num ponto: "os sistemas da Revolut e os fundos dos clientes não foram afetados". Isto não foi uma intrusão na infraestrutura da Revolut. Foi o próprio processo da Revolut para responder a pedidos oficiais, a funcionar exatamente como foi concebido, perante um pedido que parecia exatamente com aqueles que esse processo foi criado para satisfazer.
O Que Realmente Saiu dos Sistemas da Revolut
Os ficheiros expostos, de acordo com reportagens analisadas após a divulgação, foram muito além de um nome e uma morada.
| Categoria | O que foi exposto |
|---|---|
| Documentos de identidade | Passaportes ou cartas de condução, além de selfies de verificação |
| Dados pessoais | Nomes, datas de nascimento, profissões, moradas, emails, números de telefone |
| Registos financeiros | IBAN, extratos de conta, registos de levantamentos |
| Histórico de transações | Históricos completos de transações, incluindo atividade em bitcoin |
A Revolut afirmou que o número de clientes afetados é "limitado", sem indicar um valor, e as reportagens independentes também não conseguiram confirmar uma contagem. A inclusão dos históricos completos de transações em criptomoedas importa para além da violação de privacidade imediata: entrega a quem detém estes dados uma lista pronta a usar de quais os clientes que efetivamente possuem e movimentam ativos digitais, exatamente a informação de que um esquema subsequente precisaria para escolher os seus alvos.
Isto É uma Falha de Verificação de Fornecedores, Não um Ataque Informático
O padrão aqui não é novo, apenas o alvo é diferente. A fraude de comprometimento de email empresarial tem passado anos a enganar departamentos financeiros para transferirem dinheiro para um fornecedor falso, através da falsificação ou do sequestro do domínio de uma contraparte real, e a defesa ensinada a qualquer equipa financeira é sempre a mesma: um domínio ser real não torna real o pedido que vem por trás dele, por isso deve verificar-se por um canal independente antes de qualquer movimento. A violação da Revolut é essa mesma falha, mas do lado dos dados em vez do lado do dinheiro. Um domínio que pertencia genuinamente a uma agência governamental foi suficiente para obter a libertação de ficheiros de clientes, porque nada no processo obrigava a uma segunda verificação, independente, da pessoa ou do organismo que efetivamente fazia o pedido.
Esta é a parte incómoda com que qualquer empresa regulada tem de lidar: o domínio não era falso. Tudo o que uma verificação comum ao nível da caixa de entrada procuraria estava presente e correto. Só uma chamada de confirmação para um contacto verificado, usando um número ou uma morada obtidos de forma independente do próprio email, teria detetado o esquema.
O Que Qualquer Empresa Regulada Deve Verificar Agora
Qualquer empresa da UE ou do Reino Unido que receba e satisfaça pedidos oficiais de dados por email, não só bancos e fintechs, tem exatamente a mesma exposição que a Revolut acabou de demonstrar ser explorável. A autenticação de domínio, o SPF, o DKIM, um bloco de assinatura com aspeto correto, confirmam de onde veio um email. Nada disso confirma que a pessoa que o envia detém de facto a autoridade que alega ter, e tratar as duas coisas como se fossem a mesma é exatamente a lacuna por onde esta violação passou.
A solução prática não é um novo programa de segurança. É uma regra escrita segundo a qual qualquer pedido de dados de clientes, por mais oficial que pareça, passa por uma verificação através de chamada de confirmação a um contacto obtido de forma independente do próprio email, o mesmo padrão que já é ensinado às equipas financeiras antes de movimentarem dinheiro. Ao abrigo do RGPD e, quando aplicável, do DORA, esse passo de verificação é também a diferença entre um processo documentado e defensável e um relatório de violação que se limita a dizer que o pedido "parecia legítimo".
Leia a seguir: O fisco francês está isento das suas próprias coimas do RGPD | A Sua Foto Esteve Um Ano No Servidor Deles
