Procuradores italianos abrem investigação sobre campanha de extorsão contra a Revolut

Procuradores italianos abriram uma investigação formal sobre uma alegada campanha de extorsão direcionada a centenas de clientes da Revolut, segundo reportagens sobre o caso. A investigação segue-se a alegações de que criminosos obtiveram informações sensíveis de clientes e agora as usam para pressionar a empresa de fintech a realizar um enorme pagamento em criptomoeda. Os atacantes teriam exigido 6.000 Monero (XMR), uma criptomoeda focada em privacidade, em troca de não vender nem vazar os dados roubados.

Esta não é a primeira vez que clientes da Revolut se veem envolvidos em um esquema de extorsão de dados. Incidentes anteriores viram hackers vazar passaportes e selfies enquanto exigiam resgate e ameaçar divulgar dados pertencentes a 680 clientes caso suas exigências não fossem atendidas. O desdobramento mais recente, com as autoridades italianas agora investigando formalmente, marca uma escalada tanto em escala quanto em gravidade legal.

Como os dados teriam sido obtidos

O que diferencia este caso das histórias típicas de violação de dados é o método alegadamente usado para acessar os dados dos clientes. Relatos indicam que os atacantes comprometeram uma conta de e-mail certificado vinculada ao governo, conhecida na Itália como PEC (Posta Elettronica Certificata), e usaram esse acesso para extrair informações ligadas a contas da Revolut. Os sistemas de e-mail certificado são amplamente utilizados em toda a Itália para comunicações juridicamente vinculativas entre empresas, indivíduos e instituições públicas, o que significa que uma única conta comprometida pode potencialmente abrir uma porta para uma ampla gama de correspondências sensíveis.

Esse detalhe é importante porque desloca parte da história da própria infraestrutura de segurança da Revolut para o ecossistema mais amplo de sistemas de e-mail institucionais dos quais as empresas de fintech e seus clientes dependem indiretamente. Isso ecoa um padrão visto na crise anterior de extorsão da Revolut, quando a empresa enfatizou que nenhum hack direto de seus próprios sistemas havia ocorrido, mas os clientes ainda enfrentaram exposição real por meio de canais de terceiros.

A investigação da Itália e a resposta da Revolut

Os procuradores agora examinam como a conta de e-mail comprometida foi acessada e até onde se estende a exposição de dados resultante. A investigação adiciona uma dimensão oficial de aplicação da lei a uma história que, até agora, havia se desenrolado em grande parte por meio de ameaças públicas de resgate e anúncios de vazamento na dark web. Quanto à Revolut, a empresa teria declarado que não recebeu contato direto dos hackers, apesar da exigência pública, uma postura consistente com episódios anteriores em que a empresa se distanciou de negociações diretas enquanto enfrentava exigências de extorsão após violações anteriores.

O uso de Monero, em vez de Bitcoin ou outra criptomoeda mais rastreável, também vale a pena notar. O design do Monero prioriza a privacidade das transações, tornando significativamente mais difícil para os investigadores rastrear pagamentos caso um resgate seja pago. Essa escolha sugere que os atacantes estão cientes de que o escrutínio das autoridades é provável e tentam minimizar sua exposição de acordo.

O que isso significa para você

Se você é cliente da Revolut, ou cliente de qualquer serviço financeiro digital, este caso é um lembrete de que sua exposição a violações de dados não para na empresa com a qual você se cadastrou. Os dados podem circular por sistemas de parceiros, infraestrutura de e-mail governamental ou outros terceiros de maneiras que são em grande parte invisíveis ao usuário final. Você não pode controlar cada elo dessa cadeia, mas pode controlar como responde quando uma violação se torna pública.

Fique atento a comunicações oficiais da Revolut apenas por canais verificados, e trate mensagens não solicitadas que mencionem a violação com suspeita, especialmente qualquer coisa que peça para você clicar em um link, verificar sua identidade ou fazer um pagamento. Campanhas de extorsão como esta frequentemente geram tentativas secundárias de phishing que visam a mesma base de clientes uma segunda vez, capitalizando o medo e a confusão criados pela violação original.

Medidas práticas

Se você acredita que seus dados podem ter sido afetados por este ou por um incidente relacionado da Revolut, considere tomar as seguintes medidas. Altere sua senha da Revolut e ative a autenticação de dois fatores, caso ainda não o tenha feito. Monitore de perto os extratos da sua conta em busca de atividades desconhecidas nas próximas semanas. Desconfie de qualquer e-mail, mensagem de texto ou ligação alegando ser da Revolut sobre esta violação, e verifique solicitações diretamente pelo aplicativo oficial em vez de clicar em links. Considere registrar um alerta de fraude ou bloqueio de crédito se documentos de identidade, como passaportes, estiverem entre os dados potencialmente expostos.

A investigação sobre este caso de extorsão da Revolut ainda está em andamento, e os procuradores italianos provavelmente descobrirão mais detalhes sobre como a conta de e-mail comprometida foi acessada e quantos clientes são realmente afetados. Enquanto isso, manter-se alerta a tentativas de phishing e proteger as configurações da sua própria conta continua sendo a maneira mais confiável de limitar seu risco pessoal enquanto a história maior se desenrola.