Hacker, die die Verantwortung für die jüngste Enthüllung von Revolut-Kundendaten übernehmen, haben den Vorfall mit einer öffentlichen Lösegeldforderung von 3 Millionen Dollar eskaliert.
Die Gruppe, die sich selbst “iamnotavillain” nennt, stellte ein Ultimatum und forderte 6.000 Monero, das damals etwa 3 Millionen Dollar wert war. Die Angreifer gaben Revolut 24 Stunden zur Zahlung und drohten, die Kundendaten an andere kriminelle Gruppen zu verkaufen, falls das Unternehmen sich weigere.
Trotz der öffentlichen Drohung gibt Revolut an, keine direkte Lösegeldforderung von der Gruppe erhalten zu haben und keinen Kontakt zu den Erhebern der Behauptungen gehabt zu haben.
Der Erpressungsversuch folgt auf die Offenlegung eines Sicherheitsvorfalls, bei dem eine unbefugte Partei sensible Informationen von Hunderten von Revolut-Kunden erhalten hat.
Anstatt direkt in die Bankinfrastruktur von Revolut einzudringen, nutzten die Angreifer betrügerische Informationsanfragen, die offenbar von einer legitimen E-Mail-Domain einer Regierungsbehörde stammten. Revolut reagierte auf diese Anfragen und gab Kundeninformationen offen, bevor die Täuschung entdeckt wurde.
Es wird angenommen, dass etwa 680 Kunden betroffen waren. Die im Vorfall offengelegten Informationen umfassten Identität und Kontaktdaten. Benachrichtigungen an betroffene Kunden zeigten, dass die kompromittierten Informationen Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern sowie Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen umfassen könnten.
Je nach Kunden könnten auch Verifizierungsselfies, Kontoauszüge und Transaktionsverläufe offengelegt worden sein. Die Angreifer behaupten, sie hätten die Informationen erhalten, nachdem sie Zugang zu einem italienischen Regierungskommunikationssystem erhalten und es genutzt haben, um sich als Strafverfolgungsbeamte auszugeben. Sie behaupten außerdem, dass Kunden mit beträchtlichen Kryptowährungsbeständen gezielt ins Visier genommen wurden.
Diese Details basieren teilweise auf dem eigenen Bericht der Angreifer über die Operation und wurden nicht alle unabhängig bestätigt. Die Gruppe hat versucht, den Besitz der Informationen zu beweisen, indem sie Material teilte, das offenbar Kundendaten enthält. Berichten zufolge lieferte sie auch eine kurze Bildschirmaufnahme, die zeigt, wie jemand eine Sammlung von Dokumenten durchstöbert.
Die Forderung von 3 Millionen Dollar wird in Monero gestellt, einer Kryptowährung, die darauf ausgelegt ist, mehr Transaktionsprivatsphäre zu bieten als viele andere digitale Währungen.
Die öffentliche Natur des Ultimatums ist bemerkenswert, da Cyber-Erpressungsgruppen häufig versuchen, privat mit Opfern zu verhandeln, bevor sie Drohungen oder gestohlene Informationen veröffentlichen. In diesem Fall sagt Revolut, dass keine solche Verhandlung stattgefunden hat.
Die italienischen Behörden untersuchen, wie ein offizieller Regierungskommunikationskanal angeblich missbraucht wurde und ob das zugrundeliegende E-Mail-Konto oder zugehörige Systeme kompromittiert wurden.