Datenpanne bei Revolut: Angreifer tarnen sich als Behörde

Über eine gekaperte Regierungsdomain erschlichen sich Angreifer bei Revolut hochsensible Kundendaten, von Passkopien bis zu Verifizierungs-Selfies.

Eine Fälschung, die alle Kontrollen überlistete

Der Vorfall bei Revolut war kein plumper Phishing-Versuch, sondern ein präzise inszenierter Täuschungsakt, den das Unternehmen selbst als ausgeklügelten Identitätsdiebstahl einordnet. Die Angreifer versendeten offiziell wirkende Auskunftsersuchen und traten dabei als Behörde auf, wie TechCrunch schildert. Entscheidend war, dass die Nachrichten aus einem unautorisierten Postfach stammten, das direkt in der Infrastruktur einer echten staatlichen Domain eingerichtet worden war und noch dazu gültige Authentifizierungsmerkmale trug. Sämtliche technischen Absicherungen, die eigentlich Fälschungen abfangen sollen, liefen ins Leere: Weil die Domain die Prüfmechanismen SPF, DKIM und DMARC klaglos passierte, hielt Revolut den Absender laut The Crypto Times für legitim. Wer das Konto anlegte und steuerte, ist bis heute nicht aufgeklärt.

Passbilder, Selfies, Kontobewegungen

Erst ein Rückruf bei der vermeintlich anfragenden Stelle brachte den Schwindel ans Licht, denn dort war von einer Berechtigung keine Rede. Zu diesem Zeitpunkt hatten die Betrüger bereits Zugriff auf einen erheblichen Datenbestand erhalten. Betroffen sind nach aktuellem Kenntnisstand Geburtsdaten, Anschriften, E-Mail-Adressen und Rufnummern. Darüber hinaus könnten Ausweis- und Führerscheinkopien, die zur Identitätsprüfung eingereichten Selfies sowie vollständige Kontoauszüge und Zahlungshistorien nach außen gedrungen sein, also genau jene Unterlagen, mit denen sich Identitäten missbrauchen lassen.

Schadensbegrenzung und ein Déjà-vu

Sobald der Vorfall bemerkt wurde, zog Revolut die betreffende Adresse aus dem Verkehr, verständigte Ermittler und Aufsicht und wandte sich unmittelbar an die geschädigten Nutzer. Zur Dimension hält sich das Fintech bedeckt: Von einer überschaubaren Zahl Betroffener ist die Rede, konkrete Angaben zu Umfang, betroffenem Markt oder Name der missbrauchten Behörde bleiben aus. Die eigenen Systeme und die Einlagen der Kundschaft seien unberührt geblieben, versichert das Unternehmen. Gänzlich unbekannt ist ihm die Situation jedoch nicht, denn schon 2022 hatte ein anderer Sicherheitsvorfall mehr als 50.000 Kundinnen und Kunden getroffen, deren persönliche Daten damals in fremde Hände gerieten.