Revolut bestätigt, Pass- und Bitcoin-Daten an eine gefälschte Regierungs-E-Mail-Adresse übermittelt zu haben

Revolut hat bestätigt, dass Betrüger die Plattform dazu brachten, Kundendaten herauszugeben. Dazu gehörten laut den eigenen Mitteilungen des Unternehmens auch Informationen zu Reisepässen, Selfies zur Verifizierung und Bitcoin-Transaktionsdaten.

Die Anfrage kam von einer echten E-Mail-Domain einer Regierungsbehörde und enthielt gültige Zugangsdaten. Revolut hielt sie für echt und gab die Daten heraus.

Was Revolut zufolge passiert ist

Ein Sprecher von Revolut teilte BeInCrypto mit, die Bank habe den Absender gesperrt, sobald sie das Problem bemerkt habe.

„Revolut hat kürzlich einen ausgeklügelten externen Identitätsvortäuschungsangriff festgestellt, bei dem ein unbefugter Dritter die E-Mail-Adresse einer legitimen Regierungsbehörde nutzte, um betrügerische Informationsanfragen zu stellen … Die Systeme von Revolut und die Kundengelder sind nicht betroffen.“

Das Unternehmen gibt an, die Behörde, die Polizei sowie seine Datenschutz- und Finanzaufsichtsbehörden informiert zu haben. Es hat nach eigenen Angaben die begrenzte Zahl der betroffenen Personen kontaktiert.

Sind Revolut-Konten sicher?

Revolut zufolge sind die Konten weiterhin sicher. Das stimmt. Zugangscodes, Anmeldedaten und biometrische Daten wurden nie offengelegt, teilte die Bank gegenüber BeInCrypto mit. Es wurde kein Geld bewegt.

In den Mitteilungen an die Kunden klingt es anders. Dort heißt es, das Verifizierungs-Selfie sei weitergegeben worden. Ausgeschlossen wird lediglich die biometrische Gesichtstelemetrie – also die Gesichts-Vorlage, die ein System anhand eines Fotos erstellt. Das Foto selbst ist eine andere Sache.

In den Mitteilungen werden die übrigen Daten aufgeführt: Reisepässe, Führerscheine, Wohnadressen und Kontoauszüge. Eine vollständige Aufzeichnung aller Bitcoin-Ein- und -Ausgänge.

Revolut will nicht sagen, die Domain welcher Behörde verwendet wurde, und verweist auf die laufenden Ermittlungen der Polizei. Daher weiß niemand außerhalb des Unternehmens, ob ein Behördenpostfach gekapert wurde oder ob jemand, der bereits Zugriff darauf hatte, auf „Senden“ geklickt hat.

Der Blockchain-Ermittler ZachXBT, der beruflich gestohlene Kryptowährungen aufspürt, machte auf das Datenleck aufmerksam. Er hob hervor, dass es nur eine kleine Nutzergruppe betraf und offenbar auf wohlhabende Nutzer abzielte.

Gestohlene Kundenlisten haben nach Datenschutzverletzungen das Phishing-Risiko erhöht. Wohnadressen, die nach außen gelangten, gingen gewalttätigen Angriffen auf ihre Besitzer voraus.

Revolut hat dies als ausgeklügelten Angriff bezeichnet. Nach eigener Darstellung nutzte der Angreifer jedoch ein legitimes E-Mail-System der Regierung, um eine betrügerische Anfrage zu senden. Revolut hielt diese Anfrage für echt und gab die Daten heraus.

Quelle: BeInCrypto