Der On-Chain-Ermittler ZachXBT enthüllte heute früher, dass Revolut hochsensible persönliche und finanzielle Informationen bestimmter Kunden offengelegt hatte, nachdem das Unternehmen eine scheinbar authentische behördliche Anfrage erhalten hatte.
Das Unternehmen schickte den betroffenen Nutzern E-Mails und räumte darin ein, dass die offengelegten Datensätze Reisepässe, Selfies zur Verifizierung, Adressen und den vollständigen Bitcoin-Transaktionsverlauf umfassten.
Was offengelegt wurde
In der E-Mail an die Kunden, die ZachXBT auf seiner Telegram-Seite veröffentlichte, erklärte Revolut, das Unternehmen habe eine Informationsanfrage erhalten, die scheinbar von einer legitimen Regierungsbehörde stammte. Der Absender hatte nicht einfach nur eine offiziell wirkende Adresse gefälscht. Vielmehr kam die Anfrage von einem nicht autorisierten E-Mail-Konto, das die tatsächliche E-Mail-Domain der Behörde verwendete und über gültige Domain-Authentifizierungsdaten verfügte, ergänzte das Unternehmen.
Revolut kam der Anfrage nach, weil das Unternehmen davon ausging, dass sie legitim war. Zu den offengelegten Informationen gehörten möglicherweise die vollständigen Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern bestimmter Kunden. Zu den sensibleren Daten zählten Kopien von Reisepässen und/oder Führerscheinen sowie die Selfies, die Kunden während des Verifizierungsprozesses eingereicht hatten. Die gute Nachricht ist laut Unternehmen, dass die biometrischen Gesichtsdaten selbst nicht kompromittiert wurden.
Das Unternehmen erklärte jedoch, Finanzinformationen bereitgestellt zu haben, darunter Kontoauszüge mit IBANs, Kontoeröffnungsdaten und Wallet-Referenznummern sowie Auszahlungsbelege und den vollständigen Transaktionsverlauf einschließlich BTC-Transaktionen.
Bislang hat Revolut die beteiligte Regierungsbehörde nicht öffentlich genannt, und aus der an die Kunden gesendeten Mitteilung geht nicht hervor, ob auf Passwörter, private Schlüssel oder deren Guthaben zugegriffen wurde.
Gegen die Reichen?
Der On-Chain-Analyst beschrieb den Vorfall als „wahrscheinlich begrenzten Umfangs“, da es den Anschein hatte, dass sich die Täter ausschließlich auf vermögende Nutzer konzentrierten. Dies wurde jedoch weder unabhängig noch von Revolut selbst bestätigt. Außerdem hat das Unternehmen die tatsächliche Zahl der betroffenen Kunden nicht offengelegt.
Nach den zum Redaktionsschluss verfügbaren Informationen scheint es sich bei dem Vorfall um eine unbefugte Offenlegung und nicht um eine direkte Kompromittierung der Infrastruktur von Revolut zu handeln. Das Unternehmen weist Regierungs- und Strafverfolgungsbehörden selbst an, offizielle Informationsanfragen über einen dafür vorgesehenen Kanal einzureichen.
Quelle: CryptoPotato
