Revolut gab Kundendaten über Regierungsdomain an Angreifer weiter

Revolut hat Kundendaten an einen Angreifer herausgegeben, der sich als Regierungsstelle ausgab. Der Angreifer nutzte dafür eine E-Mail-Adresse auf einer echten Regierungsdomain, die alle standardmäßigen Authentifizierungsprüfungen bestand. Betroffene Kunden wurden am vergangenen Freitag informiert. Zu den geleakten Informationen gehören unter anderem Passkopien, Verifizierungs-Selfies und die vollständige Bitcoin-Transaktionshistorie der betroffenen Nutzer.

In Kürze:

• Revolut hat Kundendaten an einen Angreifer herausgegeben, der E-Mails über eine legitime Regierungsdomain versandte.
• Die geleakten Daten umfassen Identitätsdokumente, Kontaktdaten, Kontoauszüge und Transaktionshistorien inklusive Bitcoin.
• Revolut hat die betroffene E-Mail-Adresse blockiert und die Aufsichtsbehörden informiert.

Angreifer nutzte echte Regierungsdomain

Der Angreifer verschickte eine offiziell wirkende Informationsanfrage über eine E-Mail-Adresse, die tatsächlich auf der Domain einer Regierungsstelle eingerichtet worden war. Da die E-Mail alle Domain-Authentifizierungsprüfungen bestand, behandelte Revolut die Anfrage als rechtmäßig und übergab die angeforderten Daten.

Erst später stellte das Unternehmen fest, dass die Anfrage nicht authentisch war. Revolut hat die betroffene Stelle auf die unbefugte E-Mail-Adresse auf ihrer Domain hingewiesen und die Adresse anschließend blockiert. Auch die Aufsichtsbehörden wurden inzwischen informiert. Wie der Angreifer Zugriff auf ein Postfach auf der Regierungsdomain erhielt, hat Revolut nicht erläutert.

Welche Daten genau herausgegeben wurden

Laut der Mitteilung, die betroffene Kunden erhielten, können folgende Daten herausgegeben worden sein: vollständiger Name, Geburtsdatum und Beruf, aber auch Wohnadresse, E-Mail-Adresse und Telefonnummer. Zudem handelt es sich um Kopien von Identitätsdokumenten wie Reisepass oder Führerschein sowie um das Selfie, das Kunden bei der Verifizierung eingereicht haben. Biometrische Gesichtsdaten waren laut Revolut nicht von dem Vorfall betroffen.

Auch Finanzinformationen wurden weitergegeben, darunter Kontoauszüge mit IBAN und Kontoeröffnung, Abhebungsversuche und die vollständige Transaktionshistorie einschließlich Bitcoin-Transaktionen. Wie viele Kunden betroffen sind, hat Revolut nicht bekannt gegeben. Auch den Namen der betroffenen Regierungsstelle nennt das Unternehmen nicht.

Vorfall scheint auf vermögende Nutzer abzuzielen

Der Forscher ZachXBT, der die Kundenmitteilungen teilte, geht davon aus, dass der Vorfall begrenzt ist und sich gegen vermögende Nutzer richtete. Es handelt sich demnach vermutlich um einen gezielten Angriff und nicht um ein breites Datenleck, bei dem eine große Zahl von Kunden zufällig betroffen ist.

Für Kunden, die auch Bitcoin über Revolut verwalten, ist die Lage besonders heikel. Eine vollständige Transaktionshistorie bietet einem Angreifer detaillierte Einblicke in Ausgabeverhalten und das mögliche Vermögen eines Nutzers. In einer Phase, in der Bitcoin bei rund $77.000 handelt, können diese Informationen für Kriminelle besonders wertvoll sein.