Revolut cedeu dados de clientes a atacantes

A Revolut confirmou ter cedido dados de clientes, incluindo transacções de criptomoedas, a atacantes que se apoderaram de um endereço de email governamental.

Num caso que demonstra as fragilidades dos sistemas de segurança actuais, a Revolut cedeu dados detalhados de clientes, incluindo nome, documentos de identificação, fotos de verificação facial, moradas, informação bancária, e transacções, a atacantes - na sequência de um pedido de emergência fraudulento.

De acordo com as informações conhecidas até ao momento, o pedido não terá sido acompanhado por uma ordem judicial formal, tendo sido apresentado através dos canais normalmente reservados para situações urgentes relacionadas com investigações criminais ou ameaças à segurança pública. Embora ainda não tenham sido divulgados detalhes sobre a origem exacta do pedido (país ou entidade), o episódio está a gerar preocupações sobre a possibilidade de abusos em processos que permitem o acesso rápido a dados sensíveis sem supervisão judicial.

Este caso demonstra uma limitação frequentemente apontada ao Regulamento Geral sobre a Proteção de Dados (RGPD). Embora a legislação imponha regras rigorosas para o tratamento de informação pessoal e preveja sanções após violações, não impede que os dados sejam partilhados antes de uma irregularidade ser detectada. Mais concretamente, vários países têm canais para exigir acesso expedito a dados de utilizadores, em caso de cenários de terrorismo, abuso de menores, e outros.

Neste caso, a falha em si não está do lado da Revolut, que apenas se limitou a cumprir um pedido aparentemente oficial, mas sim do facto da entidade oficial em causa ter sofrido uma intrusão nos seus sistemas. Importará esclarecer bem o que se passou, e apontar o dedo à entidade/país, pois isto torna-se num exemplo perfeito de que as "boas intenções" usadas para justificar coisas como o fim da encriptação end-to-end acabará por significar que é uma questão de tempo até que isso seja explorado também por atacantes. No mínimo, será de exigir que estes canais de pedidos urgentes tenham também um mecanismo de verificação, que permita às empresas validar se se trata de um pedido legítimo (não evitará que os atacantes possam também controlar esses mecanismos, mas pelo menos dificultará mais o processo do que apenas obter acesso a um email).

O ataque terá visado um indivíduo específico com valores substanciais em criptomoedas, que fica agora em risco de sofrer uma visita indesejada em sua casa, ou ser alvo de rapto e/ou tortura para ceder esses valores.