Revolut hat sensible Kundeninformationen an eine unbefugte dritte Partei weitergegeben, nachdem eine betrügerische Anfrage offenbar wie eine legitime Behördenanfrage aussah. Besonders brisant: Zu den potenziell offengelegten Daten gehören nicht nur persönliche Informationen und Ausweisdokumente, sondern auch vollständige Transaktionshistorien einschließlich Bitcoin-Aktivitäten.
Kundengelder seien nach Angaben des Unternehmens jedoch nicht verloren gegangen, auch die Systeme von Revolut seien nicht gehackt worden.
Der Vorfall unterscheidet sich damit deutlich von einem klassischen Cyberangriff. Nach Angaben von Revolut nutzte der Angreifer eine E-Mail-Adresse innerhalb der Domain einer echten Regierungsbehörde. Die Nachricht verfügte demnach über eine legitime Domain-Authentifizierung und wurde deshalb zunächst für eine echte behördliche Anfrage gehalten. Erst bei einer späteren Überprüfung mit der betreffenden Behörde stellte Revolut fest, dass das Konto nicht autorisiert war.
Keine Revolut-Systeme gehackt – trotzdem sind die Daten hochsensibel
Revolut spricht von einer „sophisticated external impersonation scam“, also einem ausgefeilten externen Identitätsbetrug. Laut dem Unternehmen ist nur eine begrenzte Zahl von Kunden betroffen. Wie viele Personen tatsächlich involviert sind, in welchen Ländern sie leben und welche Regierungsbehörde betroffen war, hat Revolut bislang allerdings nicht öffentlich genannt.
Die Liste der möglicherweise weitergegebenen Informationen ist umfangreich. Laut den Benachrichtigungen an betroffene Kunden können vollständige Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern betroffen sein.
Hinzu kommen Kopien von Reisepässen oder Führerscheinen sowie das bei der Kontoeröffnung eingereichte Verifizierungsselfie. Revolut stellt dabei klar, dass keine daraus abgeleiteten biometrischen Gesichtsdaten betroffen gewesen seien.
Besonders kritisch sind die Finanzinformationen: Genannt werden Kontoauszüge, IBANs, Kontostatus, Wallet-Referenznummern, Auszahlungsdaten und vollständige Transaktionshistorien. Dazu können ausdrücklich auch Bitcoin-Transaktionen gehören.
Wichtig ist dabei die Einschränkung: Die Benachrichtigung beschreibt Datenkategorien, die bei betroffenen Kunden offengelegt worden sein können. Daraus lässt sich nicht automatisch schließen, dass bei jedem Betroffenen sämtliche genannten Informationen weitergegeben wurden.
Warum die Bitcoin-Historie das Risiko verschärft
Für Krypto-Nutzer ist die Kombination der Daten besonders problematisch. Eine Bitcoin-Transaktionshistorie allein ist etwas anderes als ein Datensatz, der gleichzeitig Name, Adresse, Telefonnummer, Ausweisdokument und Kontoinformationen enthält.
Gelangen solche Informationen gemeinsam in falsche Hände, lassen sich deutlich glaubwürdigere und stärker personalisierte Betrugsversuche konstruieren. Angreifer könnten beispielsweise wissen, dass eine bestimmte Person Bitcoin über Revolut gekauft oder ausgezahlt hat, und dieses Wissen für täuschend echte Phishing-Mails, Anrufe oder Versuche zur Kontoübernahme nutzen.
Das bedeutet nicht, dass Bitcoin-Wallets oder private Schlüssel kompromittiert wurden. Dafür gibt es bislang keine Hinweise. Revolut betont zudem, dass durch den Vorfall keine Kundengelder verloren gegangen seien.
Der bekannte Onchain-Ermittler ZachXBT vermutete öffentlich, dass der Angriff möglicherweise vermögende Kunden ins Visier genommen haben könnte. Bestätigt ist diese Vermutung jedoch nicht. Revolut selbst hat lediglich von einer begrenzten Zahl betroffener Kunden gesprochen.
Für betroffene Kunden beginnt das eigentliche Risiko womöglich erst jetzt
Revolut hat nach eigenen Angaben die betreffende E-Mail-Adresse in seinen Systemen blockiert und sowohl die zuständige Regierungsbehörde als auch Strafverfolgungsbehörden, Datenschutzstellen und Finanzaufsichtsbehörden informiert. Betroffene Nutzer seien direkt kontaktiert worden.
Damit ist das Sicherheitsproblem jedoch nicht zwangsläufig beendet. Ein Datensatz mit Ausweiskopie, Telefonnummer, Adresse und Finanzhistorie kann noch lange nach dem eigentlichen Vorfall für Social Engineering verwendet werden.
Betroffene Revolut-Kunden sollten deshalb insbesondere unerwartete Anrufe, E-Mails oder Nachrichten kritisch prüfen, selbst wenn der Absender persönliche Kontodetails zu kennen scheint. Revolut selbst empfiehlt bei verdächtigen Kontakten die Überprüfung über den sicheren In-App-Support und warnt davor, sensible Informationen über unerwartete Kommunikationswege preiszugeben.
Der entscheidende offene Punkt ist nun das tatsächliche Ausmaß des Vorfalls. Solange Revolut weder die Zahl der Betroffenen noch die kompromittierte Behörde nennt, lässt sich das Gesamtrisiko nur eingeschränkt bewerten.
Klar ist jedoch bereits jetzt: Nicht die technische Infrastruktur von Revolut wurde überwunden, sondern offenbar ein Prozess zur Prüfung behördlicher Datenanfragen. Gerade weil dabei KYC-Dokumente und Bitcoin-Transaktionsdaten zusammengeführt werden konnten, dürfte für betroffene Kunden vor allem die Gefahr gezielter Betrugsversuche in den kommenden Wochen entscheidend sein.
Bitcoin bei einem sicheren und regulierten Anbieter kaufen?
Krypto-Investitionen sind riskant und möglicherweise nicht für Privatanleger geeignet; Sie könnten Ihre gesamte Investition verlieren. Informieren Sie sich hier über die Risiken.
