Revolut hat Kundendaten an einen Angreifer übermittelt, der sich als Regierungsbehörde ausgab. Die Anfrage nach personenbezogenen Daten kam laut Unternehmen per E-Mail über die Domain einer Behörde – mit gültiger Domain-Authentifizierung. „Da die Kommunikation gültige Domain-Authentifizierungsmerkmale trug, wurde sie in der begründeten Annahme erfüllt, es handle sich um eine echte Anfrage einer Regierungsbehörde", heißt es in den Benachrichtigungen an die Betroffenen.
Der Umfang der herausgegebenen Daten ist erheblich. Nach Angaben von Revolut gingen Identitätsangaben wie vollständiger Name, Geburtsdatum und Beruf an die Angreifer, dazu Kontaktdaten mit Postanschrift, E-Mail-Adresse und Telefonnummer. Hinzu kommen Dokumenten- und Verifizierungsdaten: Kopien von Ausweisdokumenten – Reisepass und/oder Führerschein – sowie Selfies, die Kunden bei der Kontoeröffnung für die Identitätsprüfung nach dem Know-Your-Client-Verfahren eingereicht hatten.
Betroffen sind außerdem Finanzdaten im engeren Sinn: Kontoauszüge samt IBAN, Auszahlungsvorgänge und die vollständige Transaktionshistorie, einschließlich Bitcoin-Transaktionen.
Gegenüber BleepingComputer erklärte Revolut, das Leck betreffe eine begrenzte Zahl von Kunden; eine konkrete Zahl nannte das Unternehmen nicht. „Nach der Entdeckung haben wir die Adresse sofort blockiert und die betreffende Regierungsbehörde sowie Strafverfolgungsbehörden, Datenschutz- und Finanzaufsichtsbehörden informiert", sagte ein Sprecher. Die Systeme von Revolut und die Kundengelder seien nicht betroffen.
Der Krypto-Betrugsermittler ZachXBT ordnete den Vorfall am Wochenende ein: Zwar sei vermutlich nur eine begrenzte Zahl von Revolut-Kunden betroffen, doch „es scheint auf sehr vermögende Nutzer abgezielt worden zu sein".
Es ist nicht der erste Vorfall dieser Art beim Unternehmen. Vor vier Jahren hatte Revolut ein Datenleck offengelegt, bei dem Angreifer im September 2022 persönliche, Kontakt- und Finanzdaten von 50.150 Kunden entwendet hatten.