← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Vazamento na Revolve: cartões salvos expostos, o que fazer

A varejista de moda Revolve informou à SEC que dados de cartões salvos nas contas podem ter sido obtidos. O que vazou, quem é afetado e o que fazer.

2026-11-02

A varejista de moda on-line americana Revolve Group informou em um comunicado à SEC, a comissão de valores mobiliários dos EUA, datado de 29 de outubro de 2026, que um invasor pode ter obtido, "por meios automatizados", dados de clientes que tinham cartões de pagamento salvos em suas contas de compra no site. Cartas de notificação enviadas a clientes e registradas na Procuradoria-Geral de Massachusetts detalham o que foi exposto.

O que vazou na Revolve?

Segundo o formulário 8-K e a carta-modelo de notificação, o invasor pode ter obtido, para parte dos clientes que salvaram cartão no site:

nome;
dados de contato (a carta cita o endereço);
número do cartão de pagamento;
data de validade do cartão.

Os documentos não mencionam o código de segurança (CVV) entre os dados expostos e também não informam quantos clientes foram afetados, quando a invasão começou nem quando foi descoberta. A empresa diz que acionou seu protocolo de resposta a incidentes, que a atividade não autorizada foi remediada, que contratou especialistas externos e notificou as autoridades federais. Ela afirma que não houve interrupção do serviço e que, até a data do comunicado, não esperava impacto relevante (material) nos negócios.

O que significa "por meios automatizados"?

A Revolve não explicou a técnica. A expressão costuma descrever ataques feitos por robôs em grande escala — por exemplo, o credential stuffing, em que senhas vazadas de outros sites são testadas automaticamente até abrir contas, ou a raspagem de dados por falhas em sistemas. Como a empresa não confirmou o método, não é possível afirmar qual foi o caso. O ponto prático é o mesmo: cartão salvo em loja é um dado que pode sair dali.

Por que a Revolve comunicou à SEC se não é um incidente relevante?

Pela regra da SEC, empresas abertas divulgam no Item 1.05 do 8-K os incidentes cibernéticos que considerem relevantes, em até quatro dias úteis depois de concluir que são relevantes. Em maio de 2024, a área técnica da SEC orientou que incidentes ainda não avaliados como relevantes, ou considerados irrelevantes, sejam divulgados voluntariamente no Item 8.01 (outros eventos) — o caminho que a Revolve escolheu. Explicamos essa regra em o que o 8-K revelou.

Ponto	O que se sabe
Comunicado à SEC	8-K, item 8.01, de 29/10/2026
Dados expostos	Nome, contato, número e validade do cartão salvo
CVV	Não citado nos documentos
Número de afetados	Não divulgado
Monitoramento de crédito	Não oferecido na carta-modelo
Central de atendimento	888-517-6458, seg–sex, 9h–21h (horário de Nova York)

Quem é afetado?

Clientes que salvaram cartão de pagamento na conta do site da Revolve — o que inclui compradores fora dos EUA, já que a loja vende internacionalmente. A empresa diz que notificará quem foi atingido. Quem nunca salvou cartão na conta não está no grupo descrito pela empresa, mas continua valendo trocar a senha se ela for repetida em outros sites.

O que fazer agora?

Confira a fatura do cartão salvo e conteste com o banco qualquer compra que você não reconheça. Se preferir, peça a troca do cartão — a validade exposta facilita fraudes em sites que não pedem CVV.
Remova cartões salvos de lojas que você usa pouco e prefira cartão virtual e alertas de compra no app do banco.
Troque a senha da Revolve e de qualquer serviço onde você use a mesma senha; ative a verificação em duas etapas onde houver.
Desconfie de e-mails e ligações sobre o incidente: golpistas aproveitam vazamentos para enviar falsas notificações e pedir dados. Use só o site oficial e o telefone informado na carta.
Nos EUA, a carta lembra que é possível pedir relatórios de crédito gratuitos em annualcreditreport.com, colocar alerta de fraude ou security freeze gratuito nos três birôs e, em caso de roubo de identidade, registrar em identitytheft.gov, da FTC.
No Brasil, se houver compra indevida, conteste com o emissor do cartão e registre boletim de ocorrência; veja nosso guia vazamento de dados: o que fazer.

O que o caso ensina?

O caso se soma a outros vazamentos recentes no varejo e mostra que o dado mais valioso para o criminoso nem sempre é a senha: é o cartão guardado "por conveniência". Para quem compra muito on-line — especialmente com a Black Friday chegando —, a regra é guardar menos, usar cartões virtuais e ativar alertas. Acompanhe outros casos no Radar e as regras de notificação em Regulação nos EUA.