"Uma sofisticada fraude externa": associação alerta para possível exposição de dados sensíveis de clientes da Revolut

Segundo um comunicado da organização, a Revolut — um banco digital britânico que opera principalmente através de uma aplicação móvel — terá fornecido informações de um grupo limitado de clientes depois de receber pedidos fraudulentos que aparentavam ter origem numa entidade governamental legítima.

A informação disponível não aponta para uma intrusão direta nos sistemas centrais do banco nem para o acesso às contas dos utilizadores, mas sim para uma falha no procedimento utilizado para verificar a legitimidade dos pedidos oficiais de informação.

A Revolut classificou o sucedido como uma “sofisticada fraude externa de falsificação de identidade” e garantiu que notificou diretamente os clientes afetados, embora não tenha especificado o seu número nem identificado a instituição pública cujo domínio terá sido utilizado.

"Apesar da gravidade do que aconteceu com a Revolut, importa – desde logo – clarificar e tranquilizar os seus utilizadores que não existem, até agora, indícios de um ataque direto aos sistemas da Revolut ou uma intrusão que tenha permitido ao atacante entrar nas contas dos seus clientes", refere em comunicado.

Os dados potencialmente expostos incluiriam nomes, datas de nascimento, moradas, números de telefone, endereços de email, documentos de identificação, fotografias de verificação, números IBAN, extratos e históricos de transações.

Parte desta informação terá sido divulgada por um grupo que reivindica o ataque e exige um resgate à Revolut, ameaçando publicar diariamente novos dados.

A CpC sublinhou, no entanto, que a identidade dos atacantes, o volume da fuga de dados e a alegada utilização de sistemas de organismos públicos italianos não foram confirmados de forma independente pela Revolut ou pelas autoridades competentes.

A associação considerou que o incidente revela falhas nos procedimentos internos da Revolut, uma vez que a autenticação técnica do domínio a partir do qual é enviado um email não demonstra que o remetente esteja autorizado a solicitar informação financeira.

A iniciativa baseia-se em recentes alertas públicos de investigadores ligados à empresa norte-americana Anthropic sobre o risco de perda de controlo de uma futura superinteligência.

A associação defende que os Estados Unidos e a China estão envolvidos numa competição tecnológica que dificulta uma suspensão unilateral e considera que a União Europeia é o único ator com peso económico e jurídico suficiente para impor condições às empresas que pretendam operar no seu mercado.

A petição pede avaliações independentes para modelos de risco sistémico, autorização prévia para determinados processos de autoaperfeiçoamento da IA, comunicação obrigatória de incidentes e mecanismos externos capazes de interromper os sistemas.

A CpC pede ainda que a UE promova um acordo internacional que permita travar de forma coordenada e verificável o desenvolvimento de modelos particularmente perigosos.

A organização defende que o risco não depende de uma máquina adquirir consciência, mas de sistemas autónomos com acesso à internet, credenciais ou recursos financeiros prosseguirem objetivos mal definidos sem um controlo humano eficaz.