Poucos dias após a Revolut confirmar a exposição de informações confidenciais de clientes, usuários começaram a relatar mensagens de phishing que tentam se passar pelo banco digital.
Os golpes chamam atenção não apenas pela proximidade com o incidente, mas pelo nível de cuidado usado para convencer as vítimas.
Segundo a Malwarebytes, pelo menos um cliente afetado pelo vazamento recebeu uma mensagem fraudulenta em 14 de setembro, dois dias após a Revolut reconhecer publicamente o incidente.
O SMS apareceu na mesma conversa em que estavam mensagens legítimas da empresa, aumentando a impressão de autenticidade.
Ainda não há evidências suficientes para afirmar que os criminosos responsáveis pelo phishing tiveram acesso aos dados expostos no incidente.
Também é possível que golpistas estejam simplesmente aproveitando a repercussão do caso para atacar clientes da Revolut.
A coincidência, porém, merece atenção.
Continua depois da publicidade
O vazamento começou com engenharia social
O incidente envolvendo a Revolut não teria começado com hackers quebrando sistemas ou explorando uma vulnerabilidade extremamente sofisticada. O caminho foi bem mais humano.
A empresa foi induzida a fornecer informações de clientes após receber solicitações fraudulentas enviadas por meio de um endereço pertencente ao domínio legítimo de uma agência governamental.
Os criminosos conseguiram obter diferentes tipos de informações, incluindo dados de identidade e contato, endereços, telefones e datas de nascimento. Cópias de documentos como passaportes e carteiras de motorista também estavam entre os dados expostos.
O material ainda incluía selfies utilizadas para verificação de identidade, extratos de contas e históricos de transações.
A Revolut afirmou que um número limitado de clientes foi afetado e entrou em contato diretamente com essas pessoas. A empresa também informou anteriormente que os fundos dos clientes não foram comprometidos diretamente pelo incidente.
Phishing contra clientes da Revolut fica mais convincente
É justamente a quantidade de informações envolvidas que torna o cenário posterior mais preocupante.
Dados pessoais verdadeiros podem transformar um phishing genérico em um ataque direcionado. Nome, telefone, documentos, histórico financeiro e informações de identificação ajudam criminosos a construir abordagens muito mais convincentes.
Em um dos casos relatados pela Malwarebytes, o link enviado por SMS direcionava a vítima para uma página que solicitava acesso à câmera do dispositivo.
Ao permitir o acesso, o site supostamente imitava a verificação de identidade por vídeo da Revolut, incluindo o conhecido procedimento no qual o usuário precisa movimentar a cabeça diante da câmera.
Depois vinha a solicitação de senha.
É uma sequência desenhada para parecer familiar. A vítima vê uma interface conhecida, realiza uma verificação aparentemente legítima e tende a baixar a guarda antes de entregar a informação que realmente interessa aos criminosos.
Uma selfie também pode ser valiosa para criminosos
A tentativa de acessar a câmera adiciona outra camada ao golpe. Além de tornar a página falsa mais convincente, os criminosos podem tentar obter imagens ou vídeos da vítima.
Esse material pode posteriormente ser explorado em novas tentativas de engenharia social, fraudes de identidade ou ataques ainda mais personalizados.
Caso a campanha esteja realmente relacionada ao vazamento, a combinação é particularmente perigosa. Informações pessoais previamente obtidas, credenciais fornecidas em uma página falsa e uma eventual aprovação de autenticação poderiam ser usadas em tentativas de acesso ou recuperação de contas.
Por enquanto, entretanto, essa ligação não foi comprovada.
Vazamentos podem alimentar uma segunda onda de ataques
O episódio ajuda a mostrar por que o impacto de um vazamento de dados não deve ser medido apenas pelo que aconteceu no primeiro momento.
Quando informações pessoais escapam, elas podem continuar circulando e servir como matéria prima para golpes durante meses ou até anos. Quanto mais precisos forem esses dados, maior pode ser a capacidade de personalização das campanhas.
É uma espécie de efeito cascata da segurança digital. Primeiro ocorre a exposição. Depois chegam os criminosos tentando transformar aquelas informações em dinheiro.
No caso da Revolut, usuários devem desconfiar de contatos inesperados solicitando confirmação de dados, senhas ou verificações de identidade. Em vez de acessar links enviados por SMS, WhatsApp ou email, o caminho mais seguro é abrir diretamente o aplicativo oficial e verificar qualquer alerta por lá.
Também vale observar o endereço real das páginas acessadas e desconfiar de solicitações inesperadas de acesso à câmera.
No fim, um golpe não precisa necessariamente parecer perfeito. Ele só precisa parecer legítimo durante os poucos minutos necessários para convencer alguém a entregar a informação certa.
