Der Zugang begann laut den Erkenntnissen des Sicherheitsunternehmens Hudson Rock nicht mit einem technischen Einbruch bei Revolut, sondern mit einem kompromittierten Behördenkonto. Das Ermittlungsteam Duel stellte Kontakt zu dem Bedrohungsakteur her und erfuhr, dass Revolut rund fünf Monate lang auf die gefälschten Behördenanfragen reagierte.
Den Angaben zufolge übernahm der Angreifer die Konten eines Regierungsmitarbeiters über eine Infostealer-Infektion und nutzte anschließend dessen E-Mail-Konto, um betrügerische behördliche Auskunftsersuchen an die Revolut Bank UAB zu senden — die in Litauen ansässige Tochtergesellschaft des britischen Unternehmens. Nach Darstellung des Hackers beantwortete die Revolut Bank UAB diese Anfragen, ohne ihre Rechtmäßigkeit zu hinterfragen.
Die betroffene E-Mail-Adresse auf der Domain pec.interno.it gehört offenbar einem Mitarbeiter des italienischen Innenministeriums. Hudson Rock erklärt, mehr als 300 kompromittierte Zugangsdaten mit Bezug zu pec.interno.it zu kennen. Daraus zieht die Firma einen bemerkenswerten Schluss zur Vorgehensweise: „Auf Grundlage dieser Erkenntnisse halten wir es für sehr unwahrscheinlich, dass der Hacker diese konkreten Mitarbeiter selbst aktiv infiziert hat. Wahrscheinlicher ist, dass er bestehende Infostealer-Logs mit diesen Zugangsdaten gekauft oder genutzt hat, um seine tatsächliche Methode des Erstzugangs zu verschleiern.“
In separaten Mitteilungen erklärten die Angreifer, ihre Kampagne habe sechs Monate gedauert und zudem den Diebstahl von über 147 GB Daten bei einer italienischen Strafverfolgungsbehörde umfasst. Die italienische Polizei hat dazu Ermittlungen aufgenommen.
Zur Erpressung selbst bleiben Widersprüche: „IAmNotAVillain“ erklärte öffentlich, eine Stichprobe der abgeflossenen Daten befinde sich in den Händen eines ehemaligen Mitarbeiters, der ebenfalls die Verantwortung für das Datenleck für sich reklamiert. Revolut betont weiterhin, keine direkte Forderung erhalten zu haben.
Der Fall zeigt das Muster des Missbrauchs sogenannter Notfall- und Strafverfolgungsanfragen: Weil Finanzdienstleister rechtlich zur Kooperation mit Behörden verpflichtet sind, wird eine übernommene Behörden-Mailadresse zum Generalschlüssel für Kundendaten — ohne dass die Systeme des Anbieters selbst angegriffen werden müssen.