O vazamento de dados da Revolut expôs informações pessoais e documentos de clientes depois que a fintech britânica recebeu solicitações fraudulentas enviadas por meio do domínio de email legítimo de uma agência governamental.
A empresa confirmou o incidente, mas afirma que apenas um número limitado de usuários foi afetado. O detalhe mais preocupante está justamente na origem do golpe: aparentemente, os criminosos não precisaram invadir diretamente os sistemas da Revolut.
Segundo informações divulgadas inicialmente pelo TechCrunch e posteriormente confirmadas pela Reuters, terceiros não autorizados conseguiram se passar por representantes de um órgão governamental para solicitar informações de clientes.
A Revolut não revelou qual agência teve seu domínio utilizado, nem informou publicamente o número exato de pessoas afetadas.
Vazamento de dados da Revolut pode envolver documentos pessoais
Entre os dados potencialmente comprometidos estão informações de identidade e contato, como data de nascimento, endereço residencial, email e telefone. O incidente também pode envolver documentos usados na identificação dos clientes, incluindo passaportes e carteiras de motorista.
Informações ainda mais delicadas podem ter sido entregues aos responsáveis pelo golpe, como selfies utilizadas em processos de verificação, extratos bancários e históricos de transações. É o tipo de conjunto de informações que transforma um simples incidente de privacidade em um problema consideravelmente mais sério.
A Revolut informou que seus próprios sistemas não foram comprometidos e que os recursos financeiros dos clientes permanecem seguros. Após identificar a fraude, a empresa bloqueou o endereço utilizado nas solicitações e notificou o órgão governamental envolvido, autoridades policiais e reguladores.
Afinal, quem é a Revolut?
A Revolut é uma fintech fundada em Londres que começou oferecendo serviços financeiros digitais e avançou para uma operação bancária internacional. Atualmente, a própria companhia afirma possuir mais de 80 milhões de clientes pessoa física e atuar como banco em mais de 30 mercados.
A dimensão da empresa ajuda a explicar por que o incidente chama tanta atenção. Em 2025, a Revolut registrou US$ 6 bilhões em receita e US$ 2,3 bilhões em lucro antes dos impostos. A companhia também continua ampliando sua presença internacional.
Nos Estados Unidos, por exemplo, a fintech recebeu em setembro de 2026 uma aprovação condicional do Office of the Comptroller of the Currency para estabelecer um banco nacional. A expectativa é iniciar essa operação em 2027, embora outras aprovações regulatórias ainda sejam necessárias.
O problema não parece ter começado dentro da Revolut
Esse ponto muda bastante a leitura do caso. Até o momento, não existem evidências públicas de que criminosos tenham invadido diretamente a infraestrutura bancária da Revolut. O ataque explorou a confiança existente no processo utilizado para responder a solicitações oficiais.
Em outras palavras, o email parecia legítimo porque vinha de um domínio governamental legítimo. Só que alguém aparentemente conseguiu utilizar essa confiança para apresentar pedidos fraudulentos.
É uma versão bastante sofisticada da velha engenharia social: em vez de convencer uma pessoa de que o príncipe distante precisa de uma transferência urgente, você convence uma instituição financeira de que está diante de uma autoridade legítima.
Incidente coloca processos de verificação sob pressão
Para bancos e fintechs, solicitações provenientes de autoridades fazem parte da rotina de conformidade. O caso da Revolut mostra, porém, que verificar apenas a procedência técnica de uma mensagem pode não ser suficiente quando a própria infraestrutura confiável é utilizada por terceiros.
Isso significa que mecanismos adicionais de autenticação, confirmação independente da identidade do solicitante e validação das requisições passam a ter um peso ainda maior. Afinal, um domínio verdadeiro não transforma automaticamente todo pedido recebido em verdadeiro.
Para os clientes afetados, o risco também não termina quando a Revolut bloqueia o endereço responsável. Documentos, contatos e informações financeiras podem ser utilizados posteriormente em golpes direcionados, tentativas de falsificação de identidade e campanhas de phishing muito mais convincentes.
Um incidente pequeno pode gerar uma discussão bem maior
A Revolut insiste que o número de clientes atingidos é limitado e que seus sistemas e o dinheiro dos usuários não foram afetados. Ainda assim, a empresa não divulgou quantas pessoas tiveram informações entregues nem se o problema ficou restrito a determinado país.
E talvez esteja justamente aí a parte mais interessante dessa história. Segurança bancária não depende apenas de proteger servidores, aplicativos e senhas. Também depende de garantir que alguém com aparência de autoridade seja realmente quem afirma ser.
O episódio da Revolut não revela apenas uma possível fragilidade operacional de uma fintech gigantesca. Ele mostra como criminosos estão explorando a confiança entre empresas e instituições públicas. E, quando o email é verdadeiro, o domínio é verdadeiro e o pedido parece oficial, descobrir que o criminoso é a única coisa falsa da conversa fica bem mais complicado.
