Die Datenpanne bei Revolut erreicht offenbar eine neue Eskalationsstufe. Nachdem das Fintech bestätigt hatte, sensible Kundendaten aufgrund gefälschter Behördenanfragen an einen Unbefugten herausgegeben zu haben, sollen die Angreifer nun erste Daten prominenter Kunden veröffentlichen und Revolut zu einer Zahlung drängen. Besonders brisant für Krypto-Nutzer: Zu den betroffenen Informationen können neben Ausweisdokumenten auch vollständige Transaktionshistorien inklusive Bitcoin-Aktivitäten gehören.
Nach Angaben von International Cyber Digest (wir verlinken den Account sowie die Screenshots bewusst nicht) sollen die Angreifer inzwischen auch Daten prominenter beziehungsweise vermögender Kunden veröffentlicht haben. Die Identität der Betroffenen nennt Bitcoinbasis aus Gründen des Persönlichkeitsschutzes nicht. Eine unabhängige Bestätigung der veröffentlichten Datensätze liegt bislang nicht vor.
Wichtig ist jedoch: Die jüngsten Behauptungen über die veröffentlichten Datensätze und die Erpressungsforderung stammen bislang vor allem von den Angreifern beziehungsweise International Cyber Digest. Eine öffentliche Bestätigung Revoluts speziell zu dieser neuen Eskalation lag zum Zeitpunkt der Recherche nicht vor.
Wie Revolut überhaupt zur Herausgabe der Daten gebracht wurde
Der ursprüngliche Vorfall unterscheidet sich von einem klassischen Hackerangriff auf die Systeme einer Bank. Revolut erklärte, ein nicht autorisierter Dritter habe betrügerische Informationsanfragen über eine E-Mail-Adresse verschickt, die tatsächlich zu einer legitimen Regierungsdomain gehörte. Dadurch bestanden die Nachrichten offenbar reguläre Domain-Authentifizierungsprüfungen. Revolut hielt die Anfragen zunächst für echt und übermittelte Kundendaten. Erst später stellte das Unternehmen nach eigenen Angaben fest, dass die Anfragen nicht autorisiert waren.
Zu den möglicherweise offengelegten Informationen gehören Namen, Geburtsdaten, postalische Anschriften, E-Mail-Adressen und Telefonnummern. Hinzu kommen laut Benachrichtigungen an betroffene Kunden potenziell Kopien von Pässen und Führerscheinen, Verifizierungs-Selfies, Kontoauszüge, IBANs, Abhebungen und vollständige Transaktionshistorien. Bei einigen Kunden umfassten diese offenbar auch Bitcoin-Transaktionen.
Revolut spricht von einer begrenzten Zahl betroffener Kunden. Das Unternehmen hat bislang jedoch weder eine konkrete Zahl genannt noch offengelegt, welche Behörde beziehungsweise welche staatliche Domain für den Angriff missbraucht wurde. Revolut betont außerdem, dass die eigenen Systeme und Kundengelder nicht kompromittiert worden seien. Die betreffende Adresse sei blockiert und Behörden, Strafverfolgung sowie zuständige Regulierer seien informiert worden.
Warum der Fall für Bitcoin-Nutzer besonders heikel ist
Für Krypto-Anleger liegt die Gefahr nicht allein im Verlust klassischer personenbezogener Daten.
Wenn Ausweisdokumente, Wohnadressen und Kontaktdaten mit einer detaillierten Historie von Bitcoin-Transaktionen zusammengeführt werden können, entsteht ein deutlich sensibleres Gesamtbild. Gerade bei vermögenden Kunden kann eine solche Kombination gezieltes Phishing, Identitätsbetrug oder Social-Engineering-Angriffe erleichtern.
Blockchain-Ermittler ZachXBT hatte bereits nach Bekanntwerden des Vorfalls vermutet, dass möglicherweise gezielt vermögende Revolut-Kunden betroffen seien. Revolut selbst hat diese Einschätzung allerdings nicht bestätigt.
Die jetzt gemeldete Veröffentlichung angeblicher Daten prominenter Kunden würde dieses Risiko verschärfen. Ein Angreifer, der gestohlene Informationen öffentlich als Druckmittel einsetzt, verfolgt ein anderes Ziel als jemand, der Daten lediglich heimlich weiterverkauft: Der Reputationsschaden für das Unternehmen wird unmittelbar Teil der Erpressungsstrategie.
Jetzt droht Revolut eine zweite, womöglich gefährlichere Phase
International Cyber Digest zufolge verlangen die Angreifer Geld von Revolut und drohen andernfalls mit weiteren Veröffentlichungen. Dazu sollen nicht nur zusätzliche Kundendaten gehören, sondern auch Nachrichten und Informationen darüber, wie Revolut intern arbeitet.
Zudem werfen die Angreifer Revolut vor, sensible Informationen an Staaten beziehungsweise Stellen außerhalb der jeweils zuständigen Jurisdiktion weitergegeben und beim Datenschutz fahrlässig gehandelt zu haben. Dafür liegen derzeit jedoch keine unabhängigen Belege vor. Die Vorwürfe müssen deshalb klar als Behauptungen der Angreifer behandelt werden.
Entscheidend wird nun sein, ob Revolut die jüngsten Veröffentlichungen bestätigt, wie viele Kunden tatsächlich betroffen sind und ob der Datensatz über die bisher bekannten Informationen hinausgeht. Ebenso wichtig ist die Frage, wie es einem nicht autorisierten Akteur gelang, eine funktionsfähige Adresse innerhalb einer echten Regierungsdomain für entsprechende Anfragen zu verwenden.
Auch interessant:
- Bitcoin vor entscheidender Woche: 83.000 Dollar werden zur Schlüsselmarke
- Bitcoin mit PayPal kaufen: Hier klappt es garantiert
