Der Angriff folgt einem Muster, das Ermittler seit Jahren beobachten: Kriminelle verschaffen sich Zugang zu echten Behörden- oder Polizeipostfächern und stellen damit dringliche Auskunftsersuchen, die Unternehmen in Eilfällen ohne richterlichen Beschluss beantworten. Im Fall Revolut führte das dazu, dass die Bank umfangreiche Identitäts- und Finanzdaten an Unbefugte übermittelte.
Betroffene veröffentlichten die Benachrichtigungen des Unternehmens. Demnach umfassen die offengelegten Daten Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern, Kopien von Reisepässen und Führerscheinen, Verifizierungs-Selfies, Kontoauszüge, internationale Kontonummern (IBAN), Abhebungsprotokolle sowie Transaktionshistorien einschließlich Bitcoin-Aktivitäten.
Zu den Betroffenen zählt nach eigenen Angaben Mark Karpelès, der frühere Chef der Bitcoin-Börse Mt. Gox. Der Krypto-Unternehmer Marc Zeller schrieb auf X, er sei am Samstag aufgewacht und habe festgestellt, dass „all meine Daten von Revolut geleakt“ worden seien. Besonders ärgerlich sei, dass dies unmittelbar nach einer Aufforderung von Revolut geschehen sei, eine große Menge an Daten einzureichen, andernfalls werde das Konto in 20 Tagen geschlossen. „Jetzt wissen wir, dass sie von Hackern hereingelegt wurden und die ganze Arbeit für sie erledigt haben wie brave Schoßhündchen“, schrieb Zeller.
Einer der Kunden, dessen angeblich entwendete Daten in dem Telegram-Beitrag als Beleg für den Vorfall veröffentlicht wurden, bestritt die Echtheit der Informationen in einem Beitrag in sozialen Medien nicht.
Ob dieselbe kompromittierte Domain auch gegen andere Finanzunternehmen eingesetzt wurde, ist nicht bekannt.
Vergleichbare Fälle gab es 2021 und 2022: Hacker mit Verbindungen zur Gruppe Lapsus$ nutzten gekaperte Strafverfolgungskonten und gefälschte Notfall-Datenanfragen, um Nutzerdaten von Technologiekonzernen wie Apple, Meta und Discord zu erlangen. Das FBI hatte bereits vor solchen betrügerischen Anfragen gewarnt und auf eine „Zunahme von Beiträgen in kriminellen Foren“ hingewiesen, in denen Zugänge zu kompromittierten E-Mail-Konten für genau diesen Zweck angeboten werden.
Revolut zählt nach eigenen Angaben weltweit mehr als 80 Millionen Kunden und erwägt einen Börsengang, bei dem das Unternehmen mit bis zu 200 Milliarden US-Dollar bewertet werden könnte.