Pedido falso de autoridade: golpistas usaram e-mail de um órgão público para obter dados de clientes

Em 12 de setembro de 2026, o banco digital britânico Revolut confirmou que entregou dados de clientes a um terceiro não autorizado. Os pedidos de informação chegaram de um endereço de e-mail hospedado no domínio legítimo de uma agência de governo e foram atendidos como se viessem de uma autoridade de verdade.

O que foi entregue

Segundo o aviso enviado aos clientes afetados, os dados incluíam nome, data de nascimento, endereços, e-mail, telefone e cópias de passaportes e carteiras de motorista. O Revolut afirmou que seus sistemas e o dinheiro dos clientes não foram afetados, bloqueou o endereço e avisou a agência, a polícia e os reguladores.

Por que o golpe funcionou

Empresas reguladas precisam atender pedidos legítimos de autoridades, muitas vezes com urgência, e o golpista aproveitou justamente essa obrigação. Como o e-mail saía de um domínio verdadeiro, as checagens técnicas comuns de autenticidade não apontavam nada de errado. O problema não era um endereço falsificado, e sim uma conta real nas mãos erradas.

O padrão não é novo. Em 2024, o FBI já alertava para criminosos usando contas de e-mail governamentais comprometidas para enviar pedidos falsos de dados, inclusive pedidos de emergência.

Um remetente legítimo não prova que o pedido é legítimo. A confirmação precisa vir por outro caminho.

Como proteger a sua empresa

• Não atenda pedidos de dados de clientes só com base no e-mail, por mais oficial que ele pareça.
• Confirme por um canal independente: o telefone oficial do órgão, o portal oficial ou um contato já conhecido, e nunca o que veio na própria mensagem.
• Exija o documento formal que fundamenta o pedido e passe pela área jurídica antes de responder.
• Registre cada pedido recebido, quem aprovou e o que foi enviado.
• Treine quem atende essas solicitações: urgência e tom de autoridade são as duas alavancas do golpe.

É o mesmo raciocínio do golpe do falso executivo, com outra fantasia: em vez do diretor pedindo um pagamento, é a suposta autoridade pedindo dados.

Fontes

TechCrunch: Revolut confirms customer data breach through fake government requests

Malwarebytes: Revolut gave customer IDs and financial data to a government impostor

CyberInsider: Revolut handed customer data to fraudsters using a government email domain