Durante cerca de cinco meses, alguém enviou à Revolut pedidos de informação que pareciam vir de uma autoridade pública italiana — e o banco respondeu. O resultado foi a entrega de documentos de identidade, selfies de verificação, IBAN e histórico de transações de centenas de clientes, sem que qualquer servidor da fintech tivesse sido invadido. O caso, confirmado publicamente a 12 de setembro de 2026, está agora a ser investigado em Itália e no Reino Unido, e serve de aviso a qualquer organização que responda a pedidos legais de dados: o ponto fraco pode ser o processo, não a tecnologia.
Resposta rápida: A Revolut confirmou ter divulgado dados sensíveis de clientes a um terceiro não autorizado que usou o domínio de email legítimo de uma entidade governamental para submeter pedidos de informação fraudulentos. A imprensa italiana aponta para uma caixa de correio eletrónico certificado (PEC) da Prefeitura de Reggio Calabria, alegadamente comprometida através de malware ladrão de credenciais; o Financial Times estima cerca de 680 clientes afetados, escolhidos por análise de blockchain. Se recebeu notificação, assuma que os seus documentos de identificação estão expostos e desconfie de qualquer contacto a pedir “reverificação” de dados. Para as organizações, a lição é verificar sempre pedidos de autoridades por um canal independente.
O que a Revolut confirmou — e o que não confirmou
A posição oficial da empresa é curta e cuidadosamente formulada. Um porta-voz descreveu o sucedido como uma fraude sofisticada de personificação externa, em que um terceiro não autorizado utilizou um email de um domínio legítimo de uma agência governamental para submeter pedidos fraudulentos de informação. A Revolut afirmou ter bloqueado o endereço depois de detetar o esquema e ter alertado a agência governamental em causa, as autoridades policiais e os reguladores, sublinhando que os seus sistemas e os fundos dos clientes não foram afetados.
Quanto ao conteúdo entregue, a notificação enviada aos clientes afetados incluía dados de identificação e contacto — data de nascimento, morada postal, endereço de email e número de telefone —, além de cópias de documentos de identidade como passaportes e cartas de condução, podendo ainda abranger selfies de verificação, extratos de conta e históricos de transações. Segundo o detalhe reportado, estavam em causa também IBAN, datas de abertura de conta, registos de levantamentos e histórico completo de transações, incluindo movimentos de Bitcoin e referências de carteiras; a empresa sublinhou que palavras-passe, códigos de acesso e fundos não foram afetados.
O que a empresa não revelou é igualmente relevante: a Revolut não identificou a agência, os mercados envolvidos nem o número exato de clientes afetados. Um porta-voz limitou-se a confirmar que foi atingido um número “limitado” de clientes, contactados diretamente.
Uma PEC italiana no centro do caso
A pista italiana foi avançada pela imprensa daquele país. Os autores terão explorado um endereço de correio eletrónico certificado da prefeitura de Reggio Calabria, [email protected], apresentando-se como investigadores a trabalhar num inquérito; o banco confirmou ter enviado dados de passaportes, moradas, contas bancárias e transações de 680 clientes. De acordo com a mesma reportagem, o controlo da caixa de correio terá sido obtido através de um infostealer, pelo que as mensagens partiram efetivamente da conta da prefeitura, com os pedidos formulados em nome da Polícia Postal italiana.
Havia sinais de alerta. Os pedidos apresentavam autenticação técnica válida do domínio e foram tratados no âmbito dos procedimentos normais de cumprimento de obrigações legais, mas estavam assinados pela Polícia Postal a partir de uma PEC da prefeitura — quando aquela força tem PEC própria — e, ao que tudo indica, sem o despacho da autoridade judiciária que normalmente acompanha estes pedidos. Há ainda a incongruência de um pedido relativo a uma investigação da procuradoria de Milão enviado de um endereço de Reggio Calabria, além de números de protocolo errados. Continua por esclarecer como é que a caixa foi violada e se estava protegida com autenticação de dois fatores.
O alvo não foi aleatório. O grupo disse ao Financial Times que escolheu os 680 alvos recorrendo a análise de blockchain para identificar contas Revolut com saldos significativos em criptoativos. Do lado da investigação independente, as equipas da Duel e da Hudson Rock afirmam ter estabelecido contacto com um interlocutor que reivindica a autoria e descreve uma campanha de cerca de cinco meses, com o acesso às contas de email governamentais a ter origem em malware do tipo infostealer. Segundo esse relato, os pedidos fraudulentos foram dirigidos à Revolut Bank UAB, a subsidiária lituana do grupo britânico.
Cronologia do caso
| Data | Acontecimento |
|---|---|
| Primeiro semestre de 2026 | Início da campanha de pedidos fraudulentos, que terá durado cerca de cinco meses antes de ser detetada |
| Junho de 2026 | O CERT-AGID alerta para o abuso crescente de caixas PEC em Itália |
| 11 de setembro de 2026 | Começam a chegar as notificações aos clientes afetados |
| 12 de setembro de 2026 | A Revolut confirma publicamente a divulgação indevida de dados |
| 15 de setembro de 2026 | A autoridade britânica de proteção de dados (ICO) inicia diligências |
| 16 de setembro de 2026 | A Procuradoria de Reggio Calabria abre inquérito; a Polícia Postal investiga |
Extorsão pública e números que não batem certo
Aqui é preciso cautela, porque as fontes divergem. Foi noticiado que o grupo, autodenominado “IAmNotAVillain”, terá exigido à Revolut um resgate de três milhões de dólares, a pagar em criptomoeda no prazo de 24 horas. A exigência foi feita publicamente, com a ameaça de venda da informação, e o mesmo interlocutor afirmou que uma amostra dos dados estaria na posse de um antigo associado que também reivindica responsabilidade. Em paralelo, surgiram relatos de uma exigência muito superior, de 10 mil bitcoins, acompanhada da ameaça de publicação de mais dados de clientes, e de que o mesmo ator teria retirado cerca de 147 GB de material interno de forças de segurança italianas — alegação que continua por verificar.
Do lado da empresa, a narrativa é diferente: a Revolut afirmou não ter sido contactada pelos responsáveis e não ter recebido qualquer pedido de resgate. O banco diz estar a prestar apoio imediato aos clientes afetados e a trabalhar com as autoridades policiais e reguladoras. Nenhum destes números de resgate deve, por isso, ser tomado como facto assente.
Um dado mais sólido vem da análise técnica da infraestrutura usada para a extorsão. A KELA examinou o site público criado pelo ator e concluiu que foi montado em cerca de seis horas e meia, em alojamento público gratuito, deixando para trás um repositório público, metadados de commits e ficheiros apagados recuperáveis. A empresa nota o contraste entre uma operação bem executada e uma infraestrutura de apoio descuidada, com três contas ligadas entre si criadas numa única sessão em julho de 2026 e mantidas inativas até ao dia da operação.
O problema não é novo: pedidos de dados “de emergência”
O abuso de caixas de correio institucionais para obter dados de clientes é uma técnica conhecida e em crescimento. Em Itália, o CERT-AGID reportou em junho de 2026 ter tratado mais de 650 eventos relativos a caixas PEC abusadas ou registadas para fins ilícitos desde janeiro desse ano, no âmbito da monitorização contínua de mensagens maliciosas enviadas a partir de caixas PEC legítimas ligadas a contas comprometidas. A agência recorda ainda que a PEC não certifica a segurança do conteúdo da mensagem, apenas a entrega — ou seja, a confiança que o mecanismo inspira não se transfere para quem controla a caixa.
Para as equipas de compliance, ficam algumas práticas concretas a rever:
- Validar sempre pedidos de autoridades por um canal independente (contacto oficial já conhecido), nunca respondendo apenas ao endereço remetente.
- Exigir e verificar a base legal de cada pedido — despacho judicial, número de processo, correspondência entre a entidade requerente e o domínio utilizado.
- Correlacionar pedidos ao longo do tempo: uma sequência de pedidos da mesma origem, sobre clientes com perfil semelhante, deve gerar alerta.
- Aplicar o princípio da minimização: entregar apenas o estritamente pedido e justificado, e não dossiês KYC completos.
- Reforçar a proteção de caixas institucionais com autenticação multifator resistente a phishing e monitorizar credenciais expostas por infostealers.
Porque é que isto importa em Portugal
A Revolut é um dos serviços financeiros digitais com maior penetração em Portugal e tem mais de 80 milhões de clientes a nível global, operando como banco em mais de 30 países. A empresa não divulgou os mercados abrangidos, pelo que ninguém deve presumir que existem ou não clientes portugueses na lista — mas todos os utilizadores beneficiam de vigilância acrescida.
Do ponto de vista legal, um incidente destes recai no RGPD: divulgar dados pessoais a um terceiro não autorizado é uma violação de dados, com obrigação de notificação à autoridade de controlo competente em 72 horas e de comunicação aos titulares quando existe risco elevado — e a exposição de passaportes, selfies de verificação e históricos financeiros enquadra-se claramente nesse patamar. Em Portugal, a CNPD é a entidade a quem os titulares podem apresentar queixa. Para o setor financeiro acresce o DORA, que impõe requisitos de gestão do risco das TIC e de reporte de incidentes graves; já as entidades abrangidas pelo Regime Jurídico da Ciberespaço e Cibersegurança, que transpõe a NIS2 (Decreto-Lei n.º 125/2025), devem retirar daqui uma lição prática: os procedimentos de resposta a pedidos de autoridades são parte da superfície de ataque e devem constar das políticas de segurança e dos exercícios de simulação. O CNCS e o CERT.PT são o ponto de contacto nacional para reporte e apoio a incidentes.
Para os cidadãos, o conselho é direto: quem tenha recebido notificação deve partir do princípio de que os documentos de identificação estão comprometidos de forma permanente, vigiar tentativas de abertura de contas em seu nome e desconfiar de mensagens que peçam para “reconfirmar” dados — um padrão clássico de phishing pós-incidente. Quem tem criptoativos associados a uma identidade agora conhecida deve ainda reforçar as defesas contra SIM swap e ponderar riscos de segurança física.
Perguntas frequentes
Os sistemas da Revolut foram invadidos?
Não, segundo a própria empresa. A Revolut afirma que os seus sistemas e os fundos dos clientes não foram afetados e descreve o caso como uma fraude de personificação externa: os dados saíram através do processo normal de resposta a pedidos legais, não de uma intrusão informática.
Quantas pessoas foram afetadas e quem são?
A Revolut fala apenas num número limitado de clientes e não divulgou um total. O Financial Times estima cerca de 680 contas, alegadamente selecionadas através de análise de blockchain para identificar clientes com saldos significativos em criptoativos.
Foi pago ou exigido um resgate?
As fontes divergem. Foi noticiada uma exigência pública de três milhões de dólares em criptomoeda e, noutros relatos, um valor muito superior em bitcoin. A Revolut afirmou não ter sido contactada pelos responsáveis nem ter recebido qualquer pedido de resgate. Não há confirmação de qualquer pagamento.
O que devo fazer se recebi uma notificação?
Assuma que os documentos de identificação estão expostos de forma permanente. Vigie movimentos e pedidos de crédito em seu nome, ative todas as opções de segurança da aplicação, desconfie de qualquer contacto a pedir reconfirmação de dados e não clique em links recebidos por email ou SMS. Pode apresentar queixa à CNPD e reportar tentativas de fraude às autoridades.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Revolut, pelo CERT-AGID, por autoridades italianas e britânicas e por investigadores de segurança como a KELA, a Duel e a Hudson Rock.