Revolut meldet Datenleck durch täuschend echte Behördenanfrage

Der Finanzdienstleister Revolut hat einen Datenverstoß offengelegt, bei dem personenbezogene und finanzielle Informationen von Kunden an einen Angreifer gelangten. Der Vorfall ereignete sich, nachdem das Unternehmen Daten an eine Entität weitergegeben hatte, die sich als staatliche Behörde ausgab.

Revolut bietet in über 160 Ländern und Regionen Bankdienstleistungen, Geldverwaltung und Investitionsmöglichkeiten an. Weltweit nutzen mehr als 80 Millionen Kunden das Angebot, darunter 800.000 Geschäftskunden. In E-Mails an die betroffenen Nutzer erklärte das Unternehmen, der Angreifer habe die personenbezogenen Daten per E-Mail unter Verwendung der Domain einer staatlichen Behörde angefordert.

Da die Kommunikation gültige Domain-Authentifizierungsdaten enthielt, sei die Anfrage in dem berechtigten Glauben erfüllt worden, es handle sich um eine echte Behördenanfrage, teilte Revolut mit. Zu den übermittelten Daten gehören Identitätsdetails wie vollständiger Name, Geburtsdatum und Beruf sowie Kontaktdaten wie Postadresse, E-Mail-Adresse und Telefonnummer. Zudem wurden Dokumenten- und Verifizierungsdaten kompromittiert, darunter Kopien von Ausweisdokumenten wie Reisepass und Führerschein sowie Gesichtsverifizierungsbilder, die bei der Kontoeröffnung für die Kundenidentifizierung bereitgestellt wurden.

Auch Kontoauszüge mit IBAN-Nummern, Abhebeaufzeichnungen und die vollständige Transaktionshistorie, einschließlich Bitcoin-Transaktionen, wurden freigelegt. Revolut teilte mit, dass der Datenverstoß eine begrenzte Anzahl von Kunden betrifft, verweigerte jedoch die Nennung einer exakten Zahl. Nach der Entdeckung wurde die betreffende Adresse sofort blockiert und die zuständige staatliche Behörde sowie Strafverfolgungsbehörden, Datenschutzbehörden und Finanzregulierungsstellen informiert. Die Systeme von Revolut und die Kundengelder seien nicht betroffen.

Der Krypto-Betrugsermittler ZachXBT äußerte am Wochenende, dass der Vorfall wahrscheinlich eine begrenzte Anzahl von Revolut-Kunden betrifft, es aber so aussieht, als seien vermögende Nutzer gezielt ins Visier genommen worden. Vor vier Jahren, im September 2022, hatte Revolut bereits einen anderen Datenverstoß gemeldet, bei dem Angreifer die persönlichen, kontaktbezogenen und finanziellen Informationen von 50.150 Kunden gestohlen hatten.