Na terça-feira, 20 de outubro, muitos clientes da Revolut, incluindo em Portugal, não conseguiram pagar com cartão, fazer transferências ou entrar na aplicação. A causa não foi um ciberataque. Foi uma quebra de energia numa zona de disponibilidade da Google Cloud em Londres. O problema começou às 06h08 UTC (07h08 em Lisboa), quando a europe-west2-b, uma das três zonas de disponibilidade da região de Londres, começou a falhar. Em poucas horas, a falha afetou bancos, transportadoras, tribunais e serviços de saúde em vários países europeus. O episódio mostra, mais uma vez, o risco de muitos serviços críticos dependerem dos mesmos fornecedores de nuvem.
Resposta rápida: Um «power event» (problema de energia) na zona europe-west2-b da Google Cloud, em Londres, deixou a Revolut e outros serviços com falhas durante várias horas, a 20 de outubro. A Google fechou o incidente ao fim de 7 horas e 52 minutos. A Revolut garante que o dinheiro e os dados dos clientes estiveram sempre seguros. Nada indica que tenha havido um ciberataque. Os clientes devem desconfiar de mensagens que usem o incidente como pretexto para pedir dados ou «reembolsos». As organizações devem rever os seus planos de continuidade e a forma como distribuem as cargas de trabalho por várias zonas e regiões.
O que aconteceu na região europe-west2
A europe-west2 é a região londrina da Google Cloud e tem três zonas de disponibilidade. Segundo a Google, só uma delas perdeu energia, mas o efeito sentiu-se em toda a região. No painel de estado da Google Cloud, a explicação foi breve: «A power event caused an outage within europe-west2-b zone. The power event is mitigated.» Numa atualização seguinte, a empresa disse estar a dar prioridade à recuperação das cargas de trabalho existentes e avisou que os clientes ainda podiam não conseguir criar novas cargas.
A falha afetou serviços de base, como computação, contentores, armazenamento e análise de dados. A lista inclui BigQuery Data Transfer Service, Cloud Filestore, Cloud Run, Google App Engine, Google Cloud NetApp Volumes, Google Kubernetes Engine e Managed Service for Apache Kafka. Durante o incidente, a Google sugeriu uma solução provisória: migrar as cargas de trabalho afetadas para outra localização disponível, «se for viável».
O painel de estado mostra agora o incidente como fechado, com uma duração de 7 horas e 52 minutos. Ao fim da tarde, segundo declarações citadas pela imprensa internacional, um porta-voz da Google disse que a perturbação tinha ocorrido numa instalação de terceiros da região europe-west2, devido a um problema de energia. A Google prometeu também publicar uma análise do incidente quando terminar a investigação interna.
Cronologia do incidente
| Hora (Lisboa) | Acontecimento |
|---|---|
| 07h08 | Começam as falhas na zona europe-west2-b. A Google indica o início às 23h08 PDT de segunda-feira, 19 de outubro |
| Manhã | Disparam as queixas sobre a Revolut, a Lloyds, o HSBC e outros serviços. A Revolut confirma a interrupção |
| Cerca das 10h00 | Cai a plataforma de vídeo dos tribunais de Inglaterra e do País de Gales |
| Final da manhã | A Google atribui a falha a um «power event» e começa a recuperar os serviços |
| 15h00 (14h00 UTC) | A Google fecha o incidente. Alguns clientes continuam afetados |
| Fim da tarde | A Google anuncia o restabelecimento dos serviços. A Revolut ainda mostrava funcionalidades parcialmente indisponíveis |
Revolut, bancos britânicos e tribunais afetados
A Revolut foi a empresa mais visível do incidente. Segundo a Reuters, citada por vários meios, uma pessoa a par do assunto confirmou que a falha da Revolut estava ligada à interrupção da Google Cloud na região de Londres. A própria Google apresenta publicamente a Revolut como cliente: segundo a página de casos de clientes da Google, a Revolut usou o Compute Engine para criar uma infraestrutura capaz de crescer depressa, com implementações rápidas e automatizadas.
Em comunicado, a Revolut afirmou: «We can confirm that all our customers’ money and data are safe.» Em Portugal, segundo a imprensa nacional, a página de estado da Revolut chegou a mostrar cerca de três dezenas de serviços parcialmente indisponíveis. Entre eles estavam o login, os pagamentos com cartão, os carregamentos, as transferências, os levantamentos em multibancos, o câmbio, as ações, as criptomoedas, os cofres e o chat de apoio ao cliente. Não há dados públicos sobre quantos clientes portugueses foram afetados. Na Irlanda, a RTÉ refere que os 3,4 milhões de clientes da Revolut no país também sentiram o problema.
O impacto foi maior no Reino Unido. Segundo The Register, os dados do Down Detector mostram problemas em clientes como Lloyds Bank, HSBC, Royal Mail, Rightmove, DPD, BT, Screwfix e Revolut. O HSBC e a Lloyds admitiram dificuldades, mas não as associaram diretamente à Google Cloud. A Computer Weekly deixa um alerta: como a europe-west2 é a única região da Google no Reino Unido, os clientes sem resiliência multirregião não tinham outra localização britânica para onde transferir os serviços. Na Alemanha, o ING também comunicou dificuldades de acesso aos seus serviços digitais.
Não é a primeira vez
As falhas físicas em centros de dados europeus da Google Cloud têm antecedentes documentados pela própria empresa. Em outubro de 2024, na região de Frankfurt, um arco elétrico numa unidade de distribuição de energia da zona europe-west3-c provocou uma falha parcial de energia. Esse incidente durou 7 horas e 39 minutos. Em abril de 2023, na região de Paris, uma infiltração de água num centro de dados da europe-west9 provocou uma falha em vários clusters e obrigou a desligar várias zonas. A própria região de Londres já tinha falhado em agosto de 2024, quando as alimentações de energia principal e de reserva de um ponto de presença da Google falharam ao mesmo tempo, devido a uma avaria num quadro elétrico de uma subestação.
Há ainda uma coincidência de datas. Esta falha surge exatamente um ano depois da grande falha da Amazon Web Services, a 20 de outubro de 2025, que também deixou centenas de serviços digitais inacessíveis.
O que devem fazer cidadãos e organizações
Para os clientes particulares, o principal risco já não é a falha em si, mas o aproveitamento que os burlões costumam fazer destes incidentes. Algumas precauções:
- Não responda a SMS, e-mails ou chamadas que falem em «compensações», «reativação da conta» ou «verificação de segurança» por causa da falha.
- Confirme o estado do serviço apenas na aplicação oficial ou na página de estado do banco.
- Nos próximos dias, verifique os movimentos da conta, para detetar pagamentos duplicados ou pendentes.
- Tenha sempre um meio de pagamento alternativo, de outra instituição.
Para as equipas técnicas, as lições são conhecidas, mas muitas vezes ficam por aplicar:
- Distribuir as cargas críticas por várias zonas e, sempre que o negócio o justifique, por várias regiões.
- Testar regularmente o failover das bases de dados, e não apenas o das máquinas virtuais.
- Mapear as dependências indiretas, ou seja, os fornecedores SaaS que também estão alojados na mesma região.
- Preparar a comunicação com os clientes para cenários de indisponibilidade prolongada.
Porque é que isto importa em Portugal
Uma falha de energia num centro de dados em Londres deixou cartões bloqueados em supermercados portugueses. É um exemplo prático do chamado risco de concentração em fornecedores de nuvem. No setor financeiro, este risco é tratado pelo regulamento europeu DORA (Regulamento (UE) 2022/2554), aplicável desde janeiro de 2025. O DORA obriga as entidades financeiras a gerir o risco dos seus prestadores de serviços de TIC, a testar a resiliência operacional e a reportar incidentes graves.
Fora do setor financeiro, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige às entidades abrangidas medidas de continuidade de negócio e de segurança da cadeia de abastecimento. Os fornecedores de computação em nuvem estão incluídos nesta cadeia. O CNCS/CERT.PT é a entidade nacional de referência para a notificação e a gestão de incidentes. Quanto aos dados pessoais, uma indisponibilidade também conta como incidente ao abrigo do RGPD, que inclui a disponibilidade entre os princípios de segurança. Os responsáveis pelo tratamento devem avaliar se o incidente tem de ser registado ou notificado. Para as PME, a mensagem é simples: alojar serviços na nuvem não dispensa um plano B.
Perguntas frequentes
A falha da Revolut foi um ciberataque?
Nada indica que sim. A Google atribuiu a interrupção a um problema de energia na zona europe-west2-b, em Londres, e a Revolut garantiu que o dinheiro e os dados dos clientes estiveram sempre seguros.
Quanto tempo durou a falha da Google Cloud?
Segundo o painel de estado da Google Cloud, o incidente durou 7 horas e 52 minutos: começou às 07h08 e terminou por volta das 15h00, hora de Lisboa. Alguns serviços de clientes, como a Revolut, demoraram mais tempo a recuperar totalmente.
Os clientes portugueses da Revolut foram afetados?
Sim. A página de estado da Revolut mostrou várias funcionalidades parcialmente indisponíveis em Portugal, como o login, os pagamentos com cartão, as transferências e os levantamentos. Não foi divulgado o número de clientes afetados.
Que cuidados devo ter depois desta falha?
Desconfie de mensagens que falem em compensações ou em verificações de conta por causa do incidente. Use só a aplicação oficial e confirme os movimentos da conta, para detetar pagamentos duplicados ou pendentes.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Google Cloud (painel de estado), no relatório de incidente da Google Cloud sobre a região europe-west3, e em informação publicada por The Register e pela Computer Weekly.