Revolut: Hacker drohen nach gefälschten Behördenanfragen mit Leaks von Nutzerdaten
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Revolut hat sensible Daten von Kund an unbefugte Dritte weitergegeben, nachdem das Fintech auf gefälschte Behördenanfragen hereingefallen war. Nun sollen erste Ausweisdokumente und Selfies im Internet veröffentlicht worden sein. Die mutmaßlichen Täter drohen laut einem Medienbericht mit weiteren täglichen Veröffentlichungen, bis Revolut zahlt.
Echte Behörden-Domain, gefälschte Anfragen
Ausgangspunkt des Vorfalls waren betrügerische Auskunftsersuchen, die über eine E-Mail-Adresse unter der legitimen Domain einer Regierungsbehörde verschickt wurden. Revolut übermittelte daraufhin sensible Informationen an einen nicht autorisierten Empfänger. Gegenüber The Block bezeichnete das Unternehmen den Vorfall am vergangenen Samstag als ausgeklügelten externen Identitätsbetrug.
Die verwendete Domain gehörte tatsächlich zu einer Behörde, die darüber gestellten Anfragen waren jedoch gefälscht. Nach Entdeckung des Vorfalls habe Revolut die betreffende E-Mail-Adresse gesperrt. Die eigenen Systeme und die Gelder der Kund seien laut Unternehmensangaben nicht betroffen gewesen.
Mutmaßliche Täter setzen Revolut unter Druck
Inzwischen sollen die erbeuteten Informationen für einen Erpressungsversuch genutzt werden. Wie Cointelegraph unter Berufung auf einen Beitrag von International Cyber Digest berichtet, wurden offenbar bereits Selfies und Kopien von Ausweisdokumenten veröffentlicht. Darunter sollen sich Unterlagen des Tennisspielers Alexander Shevchenko und von Felix Römer, dem CEO des Online-Kryptocasinos Gamdom, befinden.
Auf Telegram hätten die mutmaßlichen Täter angekündigt, jeden Tag weitere Daten zu veröffentlichen, bis Revolut zahle. Eine konkrete Geldforderung nennt der Bericht nicht. Cointelegraph bat Revolut und Römer um Stellungnahmen; Antworten auf diese Anfragen enthält der vorliegende Bericht nicht. Die Angaben zu den veröffentlichten Dokumenten beruhen damit bislang auf dem zitierten Bericht über die Aktivitäten der mutmaßlichen Täter.
Ausweiskopien und vollständige Transaktionsverläufe betroffen
Wie umfangreich die weitergegebenen Informationen sein könnten, zeigt die Benachrichtigung an betroffene Kund. Darin nennt Revolut unter anderem Namen, Geburtsdaten, Berufsangaben, Post- und E-Mail-Adressen sowie Telefonnummern. Auch Kopien von Reisepässen und Führerscheinen, Selfies zur Identitätsprüfung, Kontoauszüge und vollständige Transaktionshistorien einschließlich Bitcoin-Transaktionen könnten offengelegt worden sein.
Zu den Betroffenen zählt nach eigenen Angaben auch der frühere Mt.-Gox-Chef Mark Karpelès. Er teilte die Kundenmitteilung öffentlich auf X. Dem Schreiben zufolge könnten außerdem IBANs und Aufzeichnungen über Auszahlungen an die unbefugten Dritten gelangt sein. Welche Daten bei einzelnen Betroffenen tatsächlich weitergegeben wurden, bleibt offen.
Die Kombination aus Ausweiskopien, Verifizierungsbildern und persönlichen Angaben kann Identitätsdiebstahl erleichtern. Detaillierte Kontoinformationen können zudem dazu dienen, betrügerische Kontaktaufnahmen besonders glaubwürdig zu gestalten.
Zahl der betroffenen Kunden bleibt offen
Revolut spricht von einer begrenzten Zahl betroffener Kunden, nennt aber keine konkrete Größenordnung. Ebenso ließ das Unternehmen offen, ob sich der Vorfall auf einen einzelnen Markt beschränkt und welche Regierungsbehörde hinter der verwendeten Domain steht. Die betroffenen Personen seien direkt informiert worden. Einige berichteten, die Benachrichtigung am vergangenen Freitag erhalten zu haben.
Der auf Kryptotransaktionen spezialisierte Ermittler ZachXBT vermutete, dass sich der Angriff gezielt gegen besonders vermögende Nutzer gerichtet haben könnte. Bestätigt ist eine solche gezielte Auswahl bislang nicht.
Behörden und Finanzaufsichten informiert
Nach eigenen Angaben hat Revolut neben der betroffenen Regierungsbehörde auch Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichten verständigt. Unbeantwortet bleibt, wie die betrügerischen Anfragen die Prüfung des Unternehmens passieren konnten und welche zusätzlichen Kontrollen Revolut künftig bei der Herausgabe sensibler Daten von Kund einsetzen wird.
