Revolut bestätigt Datenschutzverletzung durch gefälschte EDR-Anfragen

Revolut, ein führendes britisches Fintech-Unternehmen, hat bestätigt, dass es Ziel eines Cyberangriffs wurde, bei dem Hacker gefälschte Notfalldatenanfragen (EDR) im Namen von Regierungs- und Strafverfolgungsbehörden nutzten, um an Kundendaten zu gelangen. Dieser Vorfall wirft ein Licht auf die neuen Risiken von Social-Engineering-Angriffen, die sich gegen Compliance- und Rechtsprüfungsprozesse von Technologieunternehmen richten.

Die Angreifer verwendeten hochgradig täuschend echte gefälschte Dokumente, E-Mails und digitale Nachweise, um das Datenanfrage-Team von Revolut zu täuschen. Diese Anfragen sahen so echt aus, dass sie die internen Compliance- und Rechtsabteilungen überlisteten, was zur Freigabe sensibler Kundendaten führte.

Die kompromittierten Daten umfassen persönliche Informationen wie vollständige Namen, registrierte E-Mail-Adressen, Telefonnummern und Teile der Transaktionshistorie sowie Kontometadaten. Revolut betont jedoch, dass kritische Finanzinformationen wie Anmeldeinformationen, Passwörter, dynamische PINs und Bankkartennummern nicht betroffen waren und die Benutzerfonds und -vermögenswerte sicher bleiben.

Nach der Entdeckung verdächtiger Datenströme leitete Revolut sofortige Gegenmaßnahmen ein, unterbrach die Angriffswege und führte eine umfassende Überprüfung aller ausstehenden und historischen Strafverfolgungsanfragen durch. Das Unternehmen arbeitet mit Datenschutzbehörden und Cybersicherheitsorganisationen zusammen, um die Urheber der gefälschten Anfragen zu identifizieren.

Dieser Vorfall unterstreicht eine neue Form von Social-Engineering-Angriffen, die sich auf nicht-technische Compliance-Kanäle konzentrieren. Revolut reagiert mit einer Überarbeitung seines Systems zur Prüfung von Datenanfragen, einschließlich strengerer Offline-Verifizierungsprozesse und verbesserter automatisierter Betrugserkennung, um zukünftige Angriffe abzuwehren. Betroffene Kunden wurden benachrichtigt und aufgefordert, wachsam gegenüber potenziellen Phishing-Versuchen zu sein.