Revolut Kundendaten-Leck durch falsche Behördenmail

Revolut hat Kundenidentitäten und finanzielle Aufzeichnungen offengelegt, nachdem das Unternehmen auf eine betrügerische Anfrage reagierte, die von einer legitimen Regierungsbehörde zu stammen schien, tatsächlich aber von einem unberechtigten Konto gesendet wurde, das die offizielle E‑Mail‑Domain der Behörde nutzte. Die Mitteilung trug gültige Domain‑Authentifizierungsdaten, weshalb Revolut die Anfrage unter der berechtigten Annahme erfüllte, es handele sich um ein authentisches behördliches Ersuchen. Zu den gemeldeten offengelegten Unterlagen zählen vollständige Namen, Geburtsdaten, Berufe, Postanschriften, E‑Mail‑ und Telefonnummern; Kopien von Reisepässen und Führerscheinen sowie die für Verifizierungen eingereichten Selfies; Kontoauszüge mit IBAN, Kontoeröffnungsdaten und Kontostatus; Auszahlungsaufzeichnungen; und vollständige Transaktionshistorien, ausdrücklich einschließlich Bitcoin‑Aktivitäten und Wallet‑Referenznummern.

Das Unternehmen charakterisiert den Vorfall als „ausgeklügelten externen Identitätsbetrug“ und betont, dass Systeme und Kundengelder unberührt blieben, Passcodes, Login‑Daten und biometrische Template‑Daten nicht preisgegeben wurden und keine Geldbewegungen stattgefunden hätten. Revolut gab an, den Absender zu sperren, sobald das Problem erkannt wurde, die betreffende Behörde, die Polizei sowie Datenschutz‑ und Finanzaufsichtsbehörden zu informieren und die begrenzte Zahl betroffener Kunden zu kontaktieren. In den Kundenbenachrichtigungen wird zwischen den verschickten Verifizierungsfotos und biometrischer Gesichtstelemetrie unterschieden; Letztere sei nicht freigegeben worden.

Öffentlich zugängliche Mitteilungen nennen nicht, welche Behörde betroffen ist, wie der unberechtigte Account Zugriff erlangte oder wie viele Kunden konkret betroffen sind. Unabhängige Blockchain‑Ermittler vermerkten, die Leckage wirke begrenzt und zielgerichtet auf wohlhabendere Nutzer. Der Fall macht deutlich, dass selbst formal authentifizierte elektronische Anfragen missbraucht werden können, um sensible Identitätsdokumente und vollständige Transaktionsdaten zu erlangen, was anhaltende Risiken für Identitätsdiebstahl, Betrug, gezielte Phishing‑Angriffe und möglichen Missbrauch offengelegter Wohnanschriften oder Kundenlisten schafft. Es bleibt offen, ob ein Regierungs‑Postfach entführt wurde oder ob ein interner Absender die Daten verschickte; die Reaktion des Unternehmens konzentrierte sich auf Eindämmung, Benachrichtigung der Behörden und direkte Kontaktaufnahme mit Betroffenen.

Neue Details und öffentliche Reaktionen

Neuere Veröffentlichungen eines On‑Chain‑Ermittlers nannten ausdrücklich, dass unter den offengelegten Unterlagen Pässe und vollständige Bitcoin‑Transaktionshistorien enthalten waren, und dass die Information über Telegram verbreitet wurde. Der Ermittler hielt den Vorfall weiterhin für wahrscheinlich begrenzt und möglicherweise auf privilegierte, wohlhabendere Kunden fokussiert; Revolut hat bislang keine gesicherte Zahl der Betroffenen genannt. Berichte konkretisierten außerdem das Authentifizierungsdetail: die betrügerische Nachricht bestand SPF‑, DKIM‑ und DMARC‑Prüfungen, was nahelegt, dass der Angreifer Zugriff auf ein unberechtigtes Postfach innerhalb der echten Domaininfrastruktur der Behörde gehabt haben könnte, statt lediglich die Absenderadresse zu fälschen.

Die neuen Erkenntnisse führten zu verstärkter öffentlicher Kritik. Ein betroffener Nutzer berichtete, Revolut habe kurz zuvor umfangreiche zusätzliche Nachweise gefordert und mit Kontoschließung gedroht, und bezeichnete es als besonders ärgerlich, dass das Unternehmen durch das Befolgen der gefälschten Anfrage den Tätern Informationen lieferte. Andere forderten, das kompromittierte Behördenpostfach zu benennen, damit Banken und Krypto‑Plattformen prüfen können, ob sie ähnliche Anfragen erhielten, und wiesen auf ungeklärte Fragen hin: Warum verließ sich Revolut allein auf E‑Mail‑Authentifizierung, weshalb kontaktierte die Firma die Behörde erst nach der Herausgabe der Daten, und wurden seit der Entdeckung des Betrugs interne Prozesse angepasst?