Revolut bevestigt dat klantgegevens zijn gelekt door neppe overheidsverzoeken

De Britse fintechgigant Revolut heeft officieel bevestigd dat de persoonlijke gegevens van een deel van zijn klanten zijn buitgemaakt. Deze datalek gebeurde nadat hackers geslaagd waren in een fraudeaanval waarbij ze neppe, urgente verzoeken van overheids- en justitieinstanties gebruikten om toegang te krijgen tot de systemen van het bedrijf.

De aanvallers maakten gebruik van zeer realistisch ogende valse juridische verzoeken van overheids- en justitieinstanties. Met deze neppe documenten, e-mails en digitale bewijzen wisten ze de interne compliance- en juridische controleprocessen te omzeilen. De valse verzoeken waren in uiterlijk en opmaak zo overtuigend dat de interne ondersteunings- en juridische medewerkers tijdens de verificatie een fout maakten. Hierdoor werden de verzoeken als legitiem beschouwd en werden de gevraagde gegevens vrijgegeven.

De buitgemaakte informatie bestond voornamelijk uit basispersoonsgegevens van de getroffen klanten. Dit omvatte volledige namen, geregistreerde e-mailadressen, telefoonnummers en een deel van de transactiehistorie en accountmetadata. Revolut benadrukt dat de meest cruciale financiële beveiligingsgegevens, zoals inloggegevens, wachtwoorden, dynamische pin-codes en bankkaartnummers, niet zijn geraakt. De middelen en activa van de gebruikers op het platform zijn absoluut veilig en de onderliggende encryptiearchitectuur van het systeem is niet technisch gebroken.

Nadat de interne beveiligingsmechanismen een afwijkend dataverlooppatroon hadden gedetecteerd, startte Revolut direct de noodprocedures. Het bedrijf blokkeerde de aanvalsroute en voerde een volledige retrospectieve audit uit op alle lopende en achterstallige verzoeken van justitie. Daarnaast heeft de instelling het incident formeel gemeld bij de bevoegde nationale gegevensbeschermingsautoriteiten en justitie. Revolut werkt momenteel samen met specialistische cybersecurityorganisaties om de specifieke entiteiten of hackerbendes achter de neppe verzoeken te achterhalen.

Dit incident laat een nieuw type sociaal-engineeringrisico zien voor fintechbedrijven. In plaats van technische firewalls te doorbreken, richtten de aanvallers zich op de niet-technische compliancekanalen die juridische en overheidszaken verwerken. Om te voorkomen dat dit zich herhaalt, is Revolut bezig met een volledige herstructurering van het juridische verzoekensysteem. Het bedrijf introduceert strengere offline verificatiemechanismen met meerdere partijen en verbetert de geautomatiseerde fraudepreventie en kruisvalidatie van bewijzen. De getroffen gebruikers hebben inmiddels een specifieke veiligheidsmelding ontvangen. Het bedrijf adviseert deze gebruikers om in de komende periode extra alert te zijn en zich te beschermen tegen verdere phishing of sms-fraude door neppe klantenservice.