Revolut gibt sensible Kundendaten nach gefälschtem Regierungsantrag preis
Der On-Chain-Ermittler ZachXBT hat bekannt gegeben, dass Revolut hochsensible persönliche und finanzielle Informationen von bestimmten Kunden preisgegeben hat, nachdem das Unternehmen einem vermeintlich authentischen Regierungsantrag nachgekommen war.
In einer E-Mail an die betroffenen Nutzer räumte Revolut ein, dass die offengelegten Daten unter anderem Reisepässe, Verifizierungsselfies, Adressen und vollständige Bitcoin-Transaktionshistorien umfassten.
Welche Daten wurden offengelegt?
In der von ZachXBT veröffentlichten E-Mail erklärte Revolut, dass das Unternehmen eine Informationsanfrage erhalten habe, die von einer legitimen Regierungsbehörde zu stammen schien. Der Absender nutzte nicht nur eine gefälschte Adresse, sondern ein unbefugtes E-Mail-Konto mit der tatsächlichen Domain der Regierungsbehörde und gültigen Authentifizierungsdaten.
Revolut erfüllte die Anfrage in dem Glauben, dass sie legitim sei. Die offengelegten Informationen könnten vollständige Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern bestimmter Kunden umfassen. Sensiblere Daten beinhalteten Kopien von Reisepässen und/oder Führerscheinen sowie die Selfie-Bilder, die Kunden im Rahmen des Verifizierungsprozesses bereitgestellt hatten. Positiv sei laut Unternehmen, dass biometrische Gesichtsdaten nicht kompromittiert wurden.
Das Unternehmen gab jedoch an, finanzielle Informationen bereitgestellt zu haben, darunter Kontoauszüge mit IBANs, Kontoeröffnungsdaten und Wallet-Referenznummern sowie Abhebungsaufzeichnungen und vollständige Transaktionshistorien, einschließlich BTC-Transaktionen.
Bisher hat Revolut die beteiligte Regierungsbehörde nicht öffentlich benannt, und die Mitteilung an die Kunden gibt keinen Hinweis darauf, ob Passwörter, private Schlüssel oder deren Gelder betroffen waren.
Gezielte Angriffe auf Vermögende?
Der On-Chain-Ermittler beschrieb den Vorfall als „wahrscheinlich begrenzt in der Größe“, da es den Anschein habe, dass sich die Täter nur auf vermögende Nutzer konzentrierten. Dies wurde jedoch weder unabhängig noch von Revolut selbst bestätigt. Zudem hat das Unternehmen die tatsächliche Anzahl der betroffenen Kunden nicht offengelegt.
Den verfügbaren Informationen zufolge handelt es sich bei dem Vorfall um eine unbefugte Offenlegung und nicht um eine direkte Kompromittierung der Infrastruktur von Revolut. Das Unternehmen weist Regierungs- und Strafverfolgungsbehörden an, offizielle Informationsanfragen über einen speziellen Kanal einzureichen.
