Revolut bestätigt Datenleck durch gefälschte Regierungs-E-Mail: Wer steckt dahinter?
Revolut hat bestätigt, dass es durch eine gefälschte E-Mail dazu gebracht wurde, Kundendaten herauszugeben. Diese Daten umfassten unter anderem Reisepässe, Selfies und Bitcoin-Transaktionen. Das Unternehmen bezeichnet den Vorfall als einen ausgeklügelten Angriff.
Die E-Mail stammte von einer echten Domain einer Regierungsbehörde und enthielt gültige Domain-Zugangsdaten. Revolut hielt die Nachricht für authentisch und übermittelte die angeforderten Dateien.
Was Revolut dazu sagt
Ein Sprecher von Revolut erklärte, dass das Unternehmen den Absender sofort blockierte, nachdem das Problem erkannt wurde.
“Revolut recently identified a sophisticated external impersonation attack where an unauthorised third party utilised a legitimate government agency domain email to submit fraudulent requests for information… Revolut systems and customer funds are unaffected.”
Das Unternehmen informierte die betroffene Behörde, die Polizei sowie die Datenschutz- und Finanzaufsichtsbehörden. Es wurden die wenigen betroffenen Personen kontaktiert.
Was in der Erklärung fehlt
Revolut betont, dass die Konten sicher sind. Dies ist korrekt, jedoch nicht das Hauptproblem.
Passwörter, Anmeldedaten und biometrische Daten wurden nicht offengelegt, so das Unternehmen. Es wurden keine Gelder bewegt.
Die an Kunden gesendeten Benachrichtigungen schildern es anders. Sie geben an, dass das Verifikations-Selfie weitergegeben wurde, jedoch keine biometrischen Gesichtsdaten. Das Foto selbst ist jedoch betroffen.
Die Benachrichtigungen listen zudem auf: Reisepässe, Führerscheine, Wohnadressen, Kontoauszüge und vollständige Bitcoin-Transaktionsdaten.
Ein Passwort lässt sich schnell ändern, ein Reisepass nicht.
Revolut gibt nicht bekannt, welche Behörde betroffen ist, da die polizeilichen Ermittlungen noch laufen. Es bleibt unklar, ob ein Regierungs-Postfach gehackt wurde oder ob jemand innerhalb der Behörde die E-Mail versendete.
Der Blockchain-Analyst ZachXBT, der gestohlene Kryptowährungen verfolgt, machte auf das Datenleck aufmerksam und betonte, dass es eine kleine Gruppe von Nutzern betraf, die vermutlich wohlhabend sind.
Gestohlene Kundenlisten erhöhen das Risiko von Phishing-Angriffen nach Datenlecks. Durchgesickerte Wohnadressen führten bereits zu gewalttätigen Übergriffen auf Krypto-Besitzer.
Der Begriff "ausgeklügelt" kann unterschiedlich interpretiert werden. Laut Revolut schrieb der Angreifer eine E-Mail und wartete. Der clevere Teil geschah innerhalb eines Regierungsmail-Systems, der kostspielige Teil innerhalb von Revolut.
