Revolut hat bestätigt, dass sensible Kundendaten an unbefugte Parteien weitergegeben wurden, nachdem Betrüger betrügerische Anfragen über ein E-Mail-Konto auf einer legitimen Domain einer Regierungsbehörde gestellt hatten.
Das Finanztechnologieunternehmen bezeichnete den Vorfall als einen “ausgeklügelten externen Betrugsbetrug”. Die Angreifer mussten nicht in die Systeme von Revolut eindringen. Stattdessen schickten sie Anfragen nach Kundendaten, die offenbar von einer Regierungsbehörde stammten.
Da die Anfragen von einem E-Mail-Konto innerhalb der legitimen Domain der Agentur stammten, behandelte Revolut sie zunächst als authentisch und gab Informationen über eine begrenzte Anzahl von Kunden preis.
Die offengelegten Informationen umfassten Namen, Geburtsdaten, Berufe, Post- und E-Mail-Adressen, Telefonnummern sowie Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen.
Zusätzliche Informationen könnten ebenfalls offengelegt worden sein. Benachrichtigungen, die an betroffene Kunden gesendet wurden, zeigen, dass Verifizierungsselfies, Kontoauszüge, IBANs, Auszahlungsaufzeichnungen und vollständige Transaktionsgeschichten enthalten sein könnten. Für einige Kunden enthielten diese Verläufe auch Bitcoin-Transaktionen.
Revolut hat nicht genau bekannt gegeben, wie viele Kunden betroffen waren. Das Unternehmen hat die Zahl als begrenzt bezeichnet und erklärt, dass diese Personen direkt kontaktiert wurden.
Die Identität der Regierungsbehörde, deren E-Mail-Domain verwendet wurde, wurde ebenfalls nicht öffentlich bekanntgegeben. Es bleibt unklar, wie die unbefugte Partei ein E-Mail-Konto innerhalb der Domain der Behörde erhalten hat.
Nachdem das Problem entdeckt wurde, gab Revolut an, die betroffene E-Mail-Adresse blockiert und die zuständige Regierungsbehörde zu informieren. Auch Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichtsbehörden wurden benachrichtigt.
Das Unternehmen erklärte, dass seine eigenen Systeme bei dem Vorfall nicht kompromittiert wurden und die Kundengelder unbeeinträchtigt blieben. Die verfügbaren Informationen deuten daher auf eine unautorisierte Weitergabe durch betrügerische Informationsanfragen hin, anstatt auf Angreifer, die direkten Zugang zur Bankinfrastruktur von Revolut erhalten.
Der Vorfall ist getrennt von einer Klage im Juli, in der jemand 75 Millionen Revolut-Kundendaten zum Verkauf anbot. Revolut erklärte damals, dass es keine Beweise gefunden habe, dass seine Systeme im Zusammenhang mit diesem Datensatz kompromittiert worden seien.
Im jüngsten Fall hat Revolut jedoch bestätigt, dass Kundeninformationen an eine nicht autorisierte dritte Person weitergegeben wurden. Das Unternehmen hat die beteiligte Regierungsbehörde nicht öffentlich genannt oder eine genaue Zahl der Kunden genannt, deren Informationen veröffentlicht wurden.