Angreifer, die Revolut dazu gebracht hatten, Kundendaten herauszugeben, veröffentlichten am Wochenende die Daten prominenter Kunden und forderten ein Lösegeld von 10.000 Bitcoin. Am 14. September drohten sie, jeden Tag weitere Daten offenzulegen, bis das europäische Fintech-Unternehmen zahle.
Revolut bestätigte am 12. September, dass sich eine unbefugte Person als Regierungsbehörde ausgegeben hatte. Sie übermittelte betrügerische Auskunftsersuchen von einer E-Mail-Adresse auf der echten Domain der Behörde, die technisch korrekt authentifiziert war. Die Mitarbeitenden bearbeiteten die Anfragen wie routinemäßige rechtliche Ersuchen.
Revolut sperrt Adresse und alarmiert Aufsichtsbehörden
Wie CryptoPotato berichtete, umfasste der Datenverstoß die Offenlegung von Reisepässen, Selfies zur Verifizierung, Kontoauszügen und IBANs sowie Namen, Geburtsdaten und Wohnadressen. Ein Sprecher von Revolut erklärte, das Unternehmen habe „kürzlich einen ausgeklügelten externen Identitätsbetrug aufgedeckt, bei dem ein unbefugter Dritter die E-Mail-Adresse einer legitimen Regierungsbehörde nutzte, um betrügerische Auskunftsersuchen zu stellen.“
Die Gruppe, die sich Revolut Smilik nennt, veröffentlichte Kundendateien in mehreren Telegram-Kanälen und drohte, „jeden Tag mehr und mehr Daten freizugeben, bis Revolut dafür bezahlt, dass es die Daten seiner Kunden durchsickern ließ.“
Laut The Register schienen die veröffentlichten Daten auch Informationen über prominente Personen zu enthalten, darunter Unternehmensführungskräfte, Sportprofis und Künstler. Die Forderung von 10.000 Bitcoin bezifferte das Medium auf mehr als 782 Millionen US-Dollar. Revolut lehnte eine Stellungnahme zu der Lösegeldforderung ab.
Das Unternehmen erklärte, es habe die Adresse nach der Entdeckung gesperrt und die zuständige Regierungsbehörde, Strafverfolgungsbehörden sowie Datenschutz- und Finanzaufsichtsbehörden informiert. Seine Systeme und Kundengelder seien nicht betroffen gewesen. Revolut zufolge war eine begrenzte Zahl von Kunden betroffen, die direkt kontaktiert worden seien. Eine Zahl nannte das Unternehmen nicht, ebenso wenig die betroffene Behörde.
Zuvor hatte das Unternehmen erklärt, die biometrischen Gesichtsdaten der betroffenen Kunden seien nicht kompromittiert worden. Der On-Chain-Ermittler ZachXBT, der den Vorfall publik machte, sagte, dieser scheine einen begrenzten Umfang zu haben und sich auf vermögende Nutzer zu konzentrieren. Weder Revolut noch unabhängige Stellen haben diese Einschätzung bestätigt.
Gestohlene Datensätze erhöhen das Phishing-Risiko
Revolut ermöglicht seinen Kunden den Kauf und Verkauf von mehr als 90 Kryptowährungen. Zu den gestohlenen Dateien gehörten die vollständigen Bitcoin-Transaktionshistorien einiger Kunden. Ähnliche Datenlecks haben gezielte Betrugsversuche gegen Krypto-Besitzer begünstigt.
CryptoPotato dokumentierte, wie Kriminelle nach einem separaten Datenleck durchgesickerte Bestelldaten nutzten, um Ledger-Besitzern überzeugend wirkende Phishing-E-Mails zu schicken. Dabei lockten sie die Opfer mit einer vorgetäuschten Fusion von Ledger und Trezor auf eine gefälschte Website, die Wiederherstellungsphrasen abgriff.
Die Erpressungsforderung an Revolut ist ein weiterer Sicherheitsvorfall, bei dem Kundendaten als Druckmittel gegen Krypto-Unternehmen eingesetzt wurden. Ähnlich erging es Coinbase: Eine Lösegeldforderung zwang die Börse, ein Datenleck offenzulegen, von dem mehr als 69.000 Kunden betroffen waren. Die Daten waren nach Bestechung ausländischer Support-Mitarbeiter bekannt geworden.
Quelle: CryptoPotato
