Der Vorfall unterscheidet sich von einem klassischen Einbruch in IT-Systeme: Nicht eine technische Schwachstelle, sondern ein gefälschtes behördliches Auskunftsersuchen führte zur Herausgabe der Daten. Nach Darstellung von Revolut nutzte ein unbefugter Dritter eine legitime E-Mail-Domain einer Regierungsbehörde, um betrügerische Informationsanfragen zu stellen. Da die Anfrage gültige technische Domain-Zugangsdaten trug, stufte das Unternehmen sie als authentisch ein.
Der Umfang der offengelegten Informationen ist erheblich. In den E-Mails an die Betroffenen nennt Revolut Namen, Anschriften, Telefonnummern, E-Mail-Adressen, Geburtsdaten und Berufsangaben. Hinzu kommen Kopien von Führerscheinen und Reisepässen sowie Verifizierungs-Selfies – also genau jenes Material, das bei der Identitätsprüfung von Neukunden erhoben wird.
Auch Finanzdaten gelangten an die Unbefugten: IBANs, Kontoauszüge, Aufzeichnungen über Abhebungen sowie die vollständige Transaktionshistorie einschließlich Bitcoin-Transaktionen.
Nach dem Erkennen des Vorfalls sperrte Revolut nach eigenen Angaben umgehend die E-Mail-Adresse der Angreifer und benachrichtigte die „zuständige Regierungsbehörde sowie Strafverfolgungsbehörden, Datenschutz- und Finanzaufsichtsbehörden", wie der Sprecher erklärte.
„Revolut recently identified" – das Unternehmen erklärte, es habe kürzlich einen ausgeklügelten externen Identitätsbetrug festgestellt, bei dem ein unbefugter Dritter über eine legitime Behörden-E-Mail-Domain betrügerische Auskunftsersuchen eingereicht habe.
Zur Zahl der Betroffenen äußerte sich Revolut nicht. Der Sprecher erklärte lediglich: „Die Systeme von Revolut und die Kundengelder sind nicht betroffen. Wir haben die begrenzte Zahl betroffener Personen direkt kontaktiert, um sie zu informieren und zu unterstützen."
Revolut zählt zu den größten europäischen Neobanken. Das Unternehmen mit Sitz in London bietet Bank- und Investmentdienstleistungen für mehr als 80 Millionen Nutzer in 160 Ländern und Regionen an.