Site de Extorsão da Violação de Dados da Revolut Desmascarado por Investigadores

O desdobramento da violação de dados da Revolut tomou um novo rumo depois que a empresa de inteligência de ameaças KELA publicou uma pesquisa rastreando o site de extorsão usado para pressionar a fintech a pagar aos atacantes. De acordo com as descobertas da KELA, o site estava hospedado em infraestrutura pública gratuita e foi montado em apenas 6,5 horas. Ainda mais notável: arquivos que os atacantes pensavam ter excluído ainda eram recuperáveis através do histórico público de commits do site, um detalhe que oferece a defensores e investigadores um raro vislumbre da mecânica de uma campanha de extorsão moderna.

Essa descoberta é importante porque mostra que os criminosos por trás do incidente da Revolut não construíram uma operação sofisticada e fortificada. Em vez disso, apoiaram-se em ferramentas rápidas e gratuitas e, ao fazer isso, deixaram para trás um rastro que os investigadores puderam seguir. Para uma violação que já atraiu escrutínio pela forma como os atacantes obtiveram os dados dos clientes em primeiro lugar, este segundo capítulo oferece uma janela para o quão improvisada e exposta pode ser a infraestrutura de extorsão.

Como o Site de Extorsão Foi Construído e Rastreado

A análise da KELA constatou que a página de extorsão não estava em servidores personalizados ou infraestrutura especializada da dark web. Ela funcionava em um serviço de hospedagem gratuito e publicamente acessível, do tipo que qualquer pessoa pode contratar em minutos. A velocidade de implantação, apenas 6,5 horas do início ao fim, sugere que os atacantes priorizaram pressionar a Revolut rapidamente em vez de encobrir seus rastros cuidadosamente.

Essa pressa criou uma brecha. Como o site dependia de um histórico público de commits (o registro das alterações feitas no código ou conteúdo subjacente do site), os investigadores conseguiram analisar versões anteriores da página que os atacantes tentaram remover. Arquivos que foram excluídos do site ativo não estavam realmente desaparecidos; permaneciam visíveis nos registros de histórico, dando à KELA insights sobre como a página de extorsão evoluiu e qual conteúdo os atacantes haviam originalmente incluído antes de removê-lo.

Esse tipo de falha de segurança operacional não é incomum no cibercrime. Construir infraestrutura rápida e barata costuma ser a prioridade para grupos de extorsão que buscam atacar enquanto uma violação ainda é notícia recente, mas essa velocidade frequentemente tem o custo de deixar pegadas digitais para trás.

Conectando o Site de Extorsão à Violação Original

O site de extorsão não surgiu do nada. Ele veio após a divulgação da Revolut de que dados sensíveis de clientes foram expostos depois que a empresa foi enganada por uma solicitação governamental falsa, o que resultou na entrega de passaportes e informações pessoais a um terceiro não autorizado. Esse incidente anterior preparou o terreno para a tentativa de extorsão: uma vez que os atacantes tinham os dados dos clientes em mãos, passaram a construir um site de pressão destinado a forçar um pagamento da Revolut.

Essa sequência, um truque de engenharia social seguido de exposição de dados e depois extorsão, reflete um padrão comum no cibercrime com motivação financeira. Os atacantes raramente precisam de ferramentas altamente avançadas para ter sucesso. Uma solicitação falsa convincente foi suficiente para liberar dados sensíveis, e algumas horas em hospedagem gratuita bastaram para lançar uma campanha pública de pressão depois.

O Que Isso Significa Para Você

Se você é cliente da Revolut, o risco prático desse site de extorsão específico tem menos a ver com os detalhes de hospedagem e mais com quais dados podem ter sido incluídos nele. Páginas de extorsão ligadas a violações como esta frequentemente referenciam ou exibem informações roubadas, incluindo números de passaporte e detalhes de contas, como forma de pressão. O fato de que os investigadores conseguiram recuperar arquivos excluídos do histórico do site também significa que conteúdo que os atacantes tentaram esconder, potencialmente incluindo amostras dos dados vazados, ainda pode estar documentado e analisado por pesquisadores de segurança.

Para usuários comuns, isso reforça uma lição mais ampla sobre a violação de dados da Revolut: o comprometimento inicial aconteceu não através de um hack técnico dos sistemas da Revolut, mas através de engano. Isso significa que os conselhos habituais sobre monitorar suas contas, ficar atento a tentativas de phishing referenciando essa violação e ser cauteloso com solicitações não solicitadas de informações pessoais são especialmente relevantes agora. Atacantes que se passaram com sucesso por autoridades uma vez podem tentar táticas semelhantes novamente, seja contra a Revolut ou seus clientes diretamente.

Medidas Práticas

Se você usa a Revolut ou foi afetado por essa violação, considere os seguintes passos:

  • Monitore de perto sua conta Revolut e contas bancárias vinculadas para qualquer atividade desconhecida nas próximas semanas.
  • Desconfie de qualquer comunicação, especialmente mensagens com tom urgente, que alegue ser da Revolut, de agências governamentais ou de forças da lei referenciando este incidente.
  • Se seu passaporte ou documentos de identidade fizeram parte dos dados expostos na divulgação anterior, considere monitorar roubo de identidade e seja cauteloso ao compartilhar cópias de documentos de identidade, a menos que seja absolutamente necessário.
  • Acompanhe atualizações diretamente da Revolut em vez de confiar em links ou arquivos circulados em conexão com o site de extorsão, já que os investigadores demonstraram que o conteúdo desses sites pode ser manipulado e reaparecer mesmo após ser excluído.

A violação de dados da Revolut e seu desdobramento de extorsão mostram que até atacantes com operações criminosas funcionais podem cometer erros básicos que os investigadores podem explorar. Para os clientes, permanecer alerta e cauteloso continua sendo a melhor defesa enquanto o quadro mais completo deste incidente continua a se desenrolar.