Revolut bestätigt: Gefälschte Regierungs-E-Mail rief Pass- und Bitcoin-Daten ab: Wer hat sie gesendet?

Revolut hat gegenüber BeInCrypto bestätigt, dass es jemandem tatsächlich gelungen ist, das Unternehmen dazu zu bringen, Kundendateien herauszugeben. Laut den eigenen Mitteilungen von Revolut enthielten diese Dateien Reisepässe, Selfies und Bitcoin-Datensätze. Das Unternehmen bezeichnet den Vorfall als ausgeklügelten Angriff. Was es beschreibt, ist eine E-Mail.

Die Nachricht kam von der E-Mail-Domain einer echten Regierungsbehörde. Sie enthielt gültige Domain-Anmeldedaten. Revolut hielt sie für echt und verschickte die Dateien.

Was Revolut zufolge passiert ist

Ein Sprecher von Revolut teilte BeInCrypto mit, die Bank habe den Absender gesperrt, sobald sie das Problem bemerkt habe.

„Revolut hat kürzlich einen ausgeklügelten externen Identitätsvortäuschungsangriff festgestellt, bei dem ein unbefugter Dritter die E-Mail-Adresse einer legitimen Regierungsbehörde nutzte, um betrügerische Informationsanfragen zu stellen … Die Systeme von Revolut und die Kundengelder sind nicht betroffen.“

Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten

Das Unternehmen gibt an, die Behörde, die Polizei sowie seine Datenschutz- und Finanzaufsichtsbehörden informiert zu haben. Es hat nach eigenen Angaben die begrenzte Zahl der betroffenen Personen kontaktiert.

Was in der Erklärung fehlt

Revolut sagt, die Konten seien weiterhin sicher. Das stimmt – aber darum geht es nicht.

Zugangscodes, Anmeldedaten und biometrische Daten seien nie offengelegt worden, teilte die Bank BeInCrypto mit. Es sei kein Geld bewegt worden.

In den Mitteilungen an die Kunden klingt es anders. Dort heißt es, das Verifizierungs-Selfie sei weitergegeben worden. Ausgeschlossen wird lediglich die biometrische Gesichtstelemetrie – also die Gesichts-Vorlage, die ein System anhand eines Fotos erstellt. Das Foto selbst ist eine andere Sache.

In jenen Mitteilungen wird der Rest aufgeführt. Reisepässe. Führerscheine. Wohnadressen. Kontoauszüge. Eine vollständige Aufstellung aller Bitcoin-Zu- und -Abgänge.

Ein Passwort ist in einer Minute geändert. Ein Reisepass nicht.

Revolut will nicht sagen, die Domain welcher Behörde verwendet wurde, und verweist auf die laufenden Ermittlungen der Polizei. Daher weiß niemand außerhalb des Unternehmens, ob ein Behördenpostfach gekapert wurde oder ob jemand, der bereits Zugriff darauf hatte, auf „Senden“ geklickt hat.

Der Blockchain-Ermittler ZachXBT, der beruflich gestohlene Kryptowährungen aufspürt, machte auf das Datenleck aufmerksam. Er hob hervor, dass es nur eine kleine Nutzergruppe betraf und offenbar auf wohlhabende Nutzer abzielte.

Gestohlene Kundenlisten haben nach Datenschutzverletzungen das Phishing-Risiko erhöht. Wohnadressen, die nach außen gelangten, gingen gewalttätigen Angriffen auf ihre Besitzer voraus.

Das Wort „raffiniert“ lässt sich auch noch anders verstehen. Revolut zufolge schrieb der Angreifer eine E-Mail und wartete. Der clevere Teil spielte sich in einem staatlichen E-Mail-System ab. Der kostspielige Teil bei Revolut.

Quelle: BeInCrypto