Revolut-Datenleck: „Systeme sowie Gelder unserer Kunden nicht betroffen“
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Nach dem Bekanntwerden des Datenlecks bei Revolut, bei dem Unbekannte über gefälschte Behördenanfragen an sensible Kund:innendaten kamen, meldet sich das Fintech nun mit einer ausführlichen Stellungnahme zu Wort. Die zentrale Botschaft: Die App, die Systeme und die Datenbanken von Revolut sind weiterhin sicher und wurden nicht gehackt. Der Zugriff erfolgte demnach ausschließlich über den Umweg manipulierter Auskunftsersuchen.
Abgeflossen ist dabei ein umfangreiches Datenpaket: Namen, Geburtsdaten und Berufsangaben, Post- und E-Mail-Adressen sowie Telefonnummern. Dazu kommen Kopien von Reisepässen und Führerscheinen samt jener Selfies, die Revolut zur Identitätsprüfung verlangt. Ebenfalls betroffen sein sollen Kontoauszüge, vollständige Transaktionshistorien, IBANs und Daten zu Bitcoin-Transaktionen. Damit liegt den Angreifer:innen praktisch das komplette KYC-Profil der betroffenen Personen vor.
Revolut spricht von „ausgeklügeltem externen Betrugsversuch“
„Revolut hat kürzlich einen ausgeklügelten externen Betrugsversuch identifiziert, bei dem ein unbefugter Dritter eine legitime E-Mail-Domain einer Regierungsbehörde nutzte, um betrügerische Auskunftsanfragen zu stellen“, heißt es in dem Statement, das dem Unternehmen zufolge den aktuellen Stand der Untersuchungen wiedergibt. „Nach der Entdeckung haben wir die betreffende Adresse umgehend gesperrt und sowohl die zuständige Regierungsbehörde als auch Strafverfolgungsbehörden, Datenschutz- und Finanzaufsichtsbehörden informiert.“
Weiter heißt es: „Die Systeme von Revolut sowie die Gelder unserer Kunden sind davon nicht betroffen. Wir haben die betroffenen Personen, deren Zahl begrenzt ist, direkt kontaktiert, um sie zu informieren und zu unterstützen.“
680 Betroffene, Spur führt nach Italien
Wie viele Kund:innen konkret betroffen sind, lässt Revolut in seiner Stellungnahme offen. Laut einem Bericht von upday handelt es sich um 680 User. Genutzt worden sein sollen dabei die Mail-Adressen einer italienischen Behörde, deren legitime Domain den Anfragen den Anschein von Amtlichkeit gab. Die Zahl deckt sich mit anderen berichten, die ebenfalls von knapp 700 Betroffenen berichtet.
Die Angreifer:innen haben über Telegram angekündigt, weitere Daten zu veröffentlichen, solange Revolut nicht zahlt. Bereits online gestellt wurden Ausweisdokumente und Selfies aus dem KYC-Prozess. Zu den bislang bekannten Betroffenen zählen der frühere Mt.-Gox-Chef Mark Karpelès und Gamdom-CEO Felix Römer.
Für Revolut ist es nicht der erste Sicherheitsvorfall dieser Art. Vor vier Jahren verschafften sich Unbekannte über Social Engineering Zugang zu den Daten von rund 50.150 Kund:innen, damals etwa 0,16 Prozent der Nutzer:innenbasis. Betroffen waren unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie eingeschränkte Zahlungskartendaten; PINs, Passwörter und vollständige Kartendaten blieben damals außen vor. Im Anschluss rollte eine Phishing-Welle über die betroffenen Konten, die litauische Datenschutzbehörde nahm Ermittlungen auf.
Reddit-User will 50.000 Euro in Bitcoin verloren haben
Für zusätzliche Aufregung sorgt ein Beitrag im Revolut-Subreddit. Ein User schildert dort, er habe im Zuge des Vorfalls Bitcoin im Wert von rund 50.000 Euro verloren, und kündigt an, von Revolut Schadenersatz zu fordern. Der Account soll geschlossen werden.
Von Revolut heißt es dazu auf Anfrage lediglich, dass man sich zu Einzelfällen grundsätzlich nicht äußere. Ob und in welchem Umfang einzelne Betroffene tatsächlich finanzielle Verluste erlitten haben, bleibt damit vorerst ungeklärt. Das Unternehmen verweist darauf, dass die Kund:innengelder in den eigenen Systemen unangetastet seien.
Warum das Muster gefährlich ist
Der Fall zeigt eine Angriffsfläche, die technische Absicherung allein kaum schließt: Banken und Fintechs sind gesetzlich verpflichtet, Auskunftsersuchen von Behörden zeitnah zu beantworten. Wer eine echte Behörden-Domain kontrolliert, kann diesen Pflichtreflex ausnutzen. Emergency Data Requests dieser Art sind in den vergangenen Jahren mehrfach als Einfallstor aufgefallen, unter anderem bei großen US-Tech-Konzernen.
Für Betroffene bleibt das Risiko bestehen, auch wenn keine Gelder direkt abgeflossen sind. Mit Ausweiskopien, Selfies, IBANs und vollständigen Transaktionshistorien lassen sich Identitätsdiebstahl und maßgeschneiderte Phishing-Angriffe aufsetzen. Sicherheitsforscher:innen raten Betroffenen, besonders wachsam gegenüber vermeintlichen Anrufen oder Mails „von Revolut“ zu sein und Zwei-Faktor-Authentifizierung auf allen verknüpften Konten zu prüfen.
