A Revolut confirmou que entregou informação sensível de clientes a um terceiro não autorizado depois de receber pedidos fraudulentos enviados a partir do domínio de email legítimo de uma agência governamental. O banco digital britânico admitiu a divulgação, que terá incluído data de nascimento, morada postal, email, número de telefone e cópias de documentos de identificação, como passaportes e cartas de condução, de acordo com a notificação enviada por email aos clientes afetados. Segundo a mesma notificação, os dados podem ainda ter incluído selfies de verificação, extratos de conta e históricos de transações. Não houve intrusão informática: os dados foram entregues voluntariamente, no pressuposto de que se tratava de um pedido legal de uma autoridade.
Resposta rápida: Um terceiro não autorizado usou um endereço de email num domínio governamental verdadeiro para pedir dados de clientes à Revolut, que cumpriu o pedido por o considerar legítimo. Foram potencialmente expostos documentos de identificação, selfies de verificação, extratos e históricos de transações de um número «limitado» de clientes, que a empresa diz ter contactado diretamente. Não houve acesso indevido aos sistemas nem a fundos. Se for cliente, confirme notificações apenas dentro da aplicação, desconfie de contactos «do banco» ou «das autoridades» e ative todas as proteções de conta disponíveis.
Um pedido que passou em todos os testes técnicos — e mesmo assim era falso
A explicação oficial da empresa é curta. A Revolut afirmou ter identificado um esquema sofisticado de falsificação de identidade, em que um terceiro não autorizado utilizou um email de um domínio legítimo de uma agência governamental para submeter pedidos fraudulentos de informação, acrescentando que bloqueou o endereço e alertou a agência em causa, as autoridades e os reguladores, e que «os sistemas da Revolut e os fundos dos clientes não foram afetados». Em declarações à Reuters, um porta-voz repetiu que o alerta foi dado às autoridades policiais, às autoridades de proteção de dados e aos reguladores financeiros.
O ponto crítico é que não houve exploração de qualquer vulnerabilidade. O incidente não envolveu uma intrusão nos sistemas da Revolut: os pedidos partiram de uma conta de email não autorizada, mas assente no domínio oficial da agência e com credenciais de autenticação de domínio válidas, tendo a empresa cumprido os pedidos por acreditar que eram autênticos, só mais tarde contactando a entidade governamental para validar — foi aí que descobriu que a conta não estava autorizada. A Revolut indica ainda que bloqueou o endereço internamente e começou a aplicar proteções preventivas às contas afetadas.
Continuam por esclarecer pontos centrais. Não são públicos o nome da agência envolvida, a forma como o autor obteve uma caixa de correio válida naquele domínio, quantos clientes foram afetados nem as datas em que os pedidos foram recebidos e satisfeitos. A empresa descreveu o número de afetados apenas como «limitado».
Que categorias de dados estão em causa
A lista que circula publicamente resulta da notificação enviada aos clientes, não de um comunicado oficial detalhado. Essa notificação refere nome completo, data de nascimento, profissão, morada, email, telefone, passaportes, cartas de condução, selfies de verificação facial, extratos, estado e data de abertura da conta, referência de carteira e históricos completos de transações, incluindo Bitcoin, indicando que dados biométricos de telemetria facial não foram partilhados.
| Categoria | Exemplos indicados na notificação | Risco principal |
|---|---|---|
| Identificação | Nome, data de nascimento, profissão | Fraude de identidade e engenharia social dirigida |
| Contacto | Morada, email, telefone | Phishing, smishing e vishing credíveis |
| Documentos | Passaporte, carta de condução, selfie de verificação | Abertura de contas em nome da vítima, contorno de KYC |
| Financeira | Extratos, estado da conta, histórico de transações (incl. Bitcoin) | Perfilagem patrimonial, extorsão, fraude dirigida |
A combinação é particularmente perigosa: documento de identificação e selfie são exatamente o par exigido por muitos processos de verificação remota, e o histórico de transações permite escolher alvos com base no património. O investigador ZachXBT, especializado em criptoativos, divulgou o email recebido pelos clientes e afirmou que o incidente parecia dirigido a utilizadores de elevado património.
Cronologia do que é conhecido
| Data | Acontecimento |
|---|---|
| Data não divulgada | Chegada dos pedidos fraudulentos a partir do domínio governamental legítimo e entrega dos dados |
| Data não divulgada | Validação junto da agência, descoberta da conta não autorizada e bloqueio do endereço |
| 11–12 de setembro de 2026 | Divulgação pública da notificação aos clientes por ZachXBT |
| 12 de setembro de 2026 | Confirmação do incidente pela Revolut |
SPF, DKIM e DMARC não provam autorização
Este caso encaixa numa categoria de fraude conhecida: o abuso do canal legal através do qual as empresas respondem a autoridades. O FBI já tinha alertado que os chamados pedidos de dados de emergência permitem obter informação sem tempo para uma ordem judicial e que, depois de utilizados por grupos como o Lapsus$, aumentaram as publicações em fóruns criminosos sobre o processo; segundo a agência, criminosos estarão a obter acesso a endereços de email governamentais comprometidos para submeter pedidos fraudulentos a empresas, expondo informação pessoal de clientes. O mesmo alerta descreve a venda de orientações sobre como abusar destes endereços e de documentos de intimação roubados, o acesso a emails governamentais de dezenas de países e um caso em que um pedido fraudulento apresentado ao PayPal, alegadamente ao abrigo de um mecanismo de cooperação judiciária internacional, acabou recusado.
Tecnicamente, a lição é simples: os mecanismos de autenticação de email confirmam que a mensagem saiu mesmo daquele domínio, não que quem a escreveu tem poderes para pedir dados. Quando o remetente é uma caixa de correio real de uma entidade pública, controlada por quem não devia, todas as verificações automáticas continuam a dar «verde».
Medidas concretas para organizações que respondem a pedidos de autoridades
- Validação fora de banda obrigatória: confirmar todos os pedidos por telefone ou canal oficial independente, usando contactos obtidos em fontes públicas da entidade e nunca os indicados no email.
- Dupla aprovação humana para qualquer divulgação que inclua documentos de identificação, imagens de verificação ou histórico de transações.
- Minimização: responder apenas ao âmbito estritamente pedido, com registo escrito da base legal invocada e do identificador do processo.
- Registo de auditoria completo dos pedidos recebidos, aprovadores, ficheiros enviados e destinos, para permitir reconstituição rápida do impacto.
- Entrega por portal seguro com autenticação forte, em vez de anexos por email.
- Formação específica das equipas jurídicas, de compliance e de apoio ao cliente sobre pressão de urgência e deferência à autoridade.
O que deve fazer quem é cliente
- Confirmar mensagens apenas dentro da aplicação oficial; um email isolado não é prova de nada, em qualquer dos sentidos.
- Assumir que contactos telefónicos «do banco», «da polícia» ou «do fisco» com dados pessoais corretos podem ser fraude — nenhuma entidade legítima pede códigos, PIN ou transferências «de segurança».
- Rever movimentos e dispositivos associados à conta e ativar todas as notificações de segurança disponíveis.
- Exercer o direito de acesso previsto no RGPD, perguntando expressamente quais os dados divulgados e a quem, se houver suspeita de estar abrangido.
- Em caso de suspeita de uso indevido de documentos, comunicar às autoridades e reforçar a vigilância sobre pedidos de crédito e aberturas de conta.
Porque é que isto importa em Portugal
A dimensão do mercado nacional torna o tema relevante mesmo sem números portugueses divulgados: a fintech fechou 2025 com 2,1 milhões de clientes em Portugal e contava, à data da apresentação de resultados, com cerca de 2,3 milhões, segundo o diretor-geral da Revolut para Portugal citado pelo Jornal de Negócios. A empresa não divulgou quantos clientes foram afetados nem em que geografias, pelo que qualquer estimativa nacional seria especulação.
Do ponto de vista regulatório, uma divulgação indevida de dados pessoais é uma violação de dados nos termos do RGPD, com deveres de notificação à autoridade de controlo e, quando o risco for elevado, de comunicação aos titulares — em Portugal, a autoridade é a CNPD. Vale a pena recordar o precedente: em 2022, a autoridade lituana de proteção de dados abriu investigação a uma violação que afetou 50 150 clientes da Revolut, dos quais 20 687 no Espaço Económico Europeu, num caso que também teve origem em engenharia social.
Para as empresas portuguesas, a lição é transversal e liga-se diretamente ao Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2): os requisitos de gestão de risco não se esgotam em firewalls e atualizações, incluem processos, cadeia de decisão e formação. Um pedido de dados vindo de uma entidade pública é um processo de negócio — e, como tal, um vetor de ataque. O CNCS e o CERT.PT têm insistido na verificação por canais independentes perante pedidos urgentes com autoridade aparente, seja em fraude ao CEO, seja em falsos pedidos oficiais. Para instituições financeiras, acresce ainda o quadro de resiliência operacional digital do setor, que exige teste e documentação destes procedimentos críticos.
Perguntas frequentes
A Revolut foi pirateada?
Não, de acordo com a informação conhecida. O incidente não envolveu intrusão nos sistemas centrais da empresa: um terceiro não autorizado usou um endereço num domínio governamental legítimo para fazer pedidos fraudulentos de informação, que a Revolut descreveu como um esquema sofisticado de falsificação de identidade externa.
Quantos clientes foram afetados?
Não é público. A empresa não revelou a agência envolvida, o número exato de clientes afetados nem o período em que a informação esteve exposta, tendo apenas classificado o universo como limitado.
O meu dinheiro está em risco?
A Revolut afirmou que os seus sistemas e os fundos dos clientes não foram afetados e que bloqueou o endereço de email após detetar o esquema, alertando a agência governamental, as autoridades policiais, as autoridades de proteção de dados e os reguladores financeiros. O risco imediato é de fraude por engenharia social com base nos dados divulgados.
Como pode uma PME proteger-se de pedidos falsos de autoridades?
Definindo um procedimento escrito: nomear responsáveis pela resposta, exigir confirmação por telefone através de contactos oficiais independentes, obrigar a dupla aprovação para envio de documentos, limitar os dados ao estritamente pedido e registar tudo. A urgência invocada deve aumentar a desconfiança, não reduzi-la.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Revolut, por autoridades de proteção de dados e por alertas de autoridades policiais sobre pedidos fraudulentos de informação.