Die Datenpanne bei Revolut erreicht eine neue Eskalationsstufe. Die mutmaßlich verantwortliche Gruppe „iamnotavillain“ fordert nach übereinstimmenden Berichten 6.000 Monero (XMR) im Wert von rund 3 Millionen US-Dollar und hat Revolut eine Frist von 24 Stunden gesetzt. Sollte das Unternehmen nicht zahlen, wollen die Angreifer sensible Kundendaten an andere kriminelle Gruppen verkaufen.
Die Forderung ist inzwischen deutlich besser belegt als frühere Behauptungen rund um den Vorfall. Reuters bestätigte unter Berufung auf Revolut, dass bislang allerdings kein direkter Kontakt und keine direkte Zahlungsforderung bei dem Unternehmen eingegangen sei. Das Ultimatum wurde stattdessen öffentlich auf einer Website der Angreifer veröffentlicht und mit einem Countdown versehen.
Beim aktuellen Monero-Kurs entspricht die Forderung tatsächlich ungefähr den genannten 3 Millionen Dollar. CoinGecko weist XMR derzeit bei rund 501 Dollar aus, womit 6.000 XMR einen Gegenwert von gut 3 Millionen Dollar hätten.
Warum die 680 betroffenen Konten für Krypto-Nutzer besonders brisant sind
Nach Informationen der Financial Times und einer mit dem Vorgang vertrauten Quelle, auf die sich Reuters beruft, sind rund 680 Revolut-Kunden betroffen. Revolut selbst hatte zunächst lediglich von einer begrenzten beziehungsweise sehr kleinen Gruppe gesprochen und öffentlich keine genaue Zahl genannt.
Die möglichen Folgen gehen dabei weit über eine gewöhnliche Datenpanne hinaus. Laut den Benachrichtigungen, die Revolut an Betroffene verschickte, könnten unter anderem Namen, Geburtsdaten, Wohn- und E-Mail-Adressen, Telefonnummern sowie Kopien von Pässen und Führerscheinen offengelegt worden sein.
Hinzu kommen möglicherweise Verifizierungs-Selfies, Kontoauszüge, IBANs, Abhebungen und vollständige Transaktionshistorien. Bei einzelnen Betroffenen umfassten diese offenbar auch Bitcoin-Transaktionen. Revolut betont jedoch weiterhin, dass die eigenen Systeme, Kundenkonten und Kundengelder nicht gehackt beziehungsweise kompromittiert worden seien.
Besonders heikel ist eine weitere Behauptung der Angreifer: Sie geben an, mithilfe von Blockchain-Analysen gezielt Nutzer mit größeren Krypto-Beständen identifiziert und anschließend deren Daten angefordert zu haben. Die Financial Times berichtet, dass zahlreiche Betroffene aus der Schweiz und Frankreich stammen sollen. Diese gezielte Auswahl sogenannter „Crypto Whales“ wurde von Revolut bislang nicht unabhängig bestätigt.
Für vermögende Krypto-Anleger wäre eine solche Kombination aus Wohnadresse, Ausweisdokumenten und nachvollziehbarer Krypto-Aktivität besonders gefährlich. Die Daten könnten nicht nur für Identitätsdiebstahl und hochgradig personalisierte Phishing-Angriffe missbraucht werden, sondern potenziell auch Informationen darüber liefern, bei welchen Personen sich weitere Angriffe lohnen könnten.
Keine klassische Revolut-Hackattacke: So kamen die Täter offenbar an die Daten
Der Fall unterscheidet sich weiterhin entscheidend von einem klassischen Einbruch in die IT-Systeme einer Bank. Revolut zufolge nutzte ein nicht autorisierter Dritter eine E-Mail-Adresse innerhalb einer legitimen staatlichen Domain und stellte damit betrügerische Anfragen nach Kundendaten. Die Nachrichten wirkten dadurch offenbar wie echte Behördenanfragen und führten dazu, dass Revolut sensible Informationen herausgab.
Nach aktuellen Berichten führt die Spur nach Italien. Euronews berichtet unter Berufung auf die laufenden Ermittlungen, dass eine institutionelle PEC-E-Mail-Adresse der Präfektur von Reggio Calabria missbraucht worden sein soll. Die Staatsanwaltschaft in Reggio Calabria hat Ermittlungen eingeleitet. Auch italienische Cybercrime-Ermittler und Datenschutzbehörden befassen sich mit dem Fall.
Noch ist dabei nicht abschließend geklärt, auf welchem technischen Weg die Infrastruktur kompromittiert oder nachgeahmt wurde. Genau diese Frage dürfte für Revolut und andere Finanzunternehmen entscheidend werden: Wenn eine Anfrage aus einem technisch legitimen Behördenkanal stammt, reichen klassische E-Mail-Authentifizierungsmechanismen möglicherweise nicht aus, um ihre tatsächliche Berechtigung festzustellen.
Das 24-Stunden-Ultimatum erhöht jetzt den Druck auf Revolut
Neu ist vor allem die konkrete und öffentlich ausgesprochene Erpressungsforderung. Die Gruppe veröffentlichte am Mittwoch ein Ultimatum über 6.000 XMR und drohte damit, die Kundendaten nach Ablauf von 24 Stunden an andere kriminelle Organisationen weiterzugeben. Die Financial Times bezeichnet die öffentliche Vorgehensweise als ungewöhnlich, da Erpressungsversuche normalerweise zunächst direkt und nicht über eine öffentlich sichtbare Countdown-Seite geführt werden.
Interessant ist deshalb auch Revoluts Aussage gegenüber Reuters: Das Unternehmen hatte nach eigenen Angaben bis Mittwochabend weder direkten Kontakt mit der Gruppe noch eine direkte Lösegeldforderung erhalten. Die öffentliche Frist könnte damit nicht nur der Vorbereitung eines möglichen Datenverkaufs dienen, sondern auch den öffentlichen Druck erhöhen.
Zum Zeitpunkt der Recherche gibt es keine belastbare öffentliche Bestätigung dafür, dass Revolut die geforderten Monero bezahlt hat. Für betroffene Kunden bleibt deshalb entscheidend, wie sich die Situation nach Ablauf des Ultimatums entwickelt. Sollten tatsächlich weitere Dokumente oder vollständige Datensätze veröffentlicht beziehungsweise verkauft werden, würde aus der bisherigen Datenpanne eine noch gefährlichere zweite Phase entstehen.
Die zentrale Frage lautet jetzt nicht mehr nur, wie rund 680 sensible Kundendatensätze in die Hände der Angreifer gelangen konnten. Entscheidend ist, ob die 24-Stunden-Frist tatsächlich zur Veröffentlichung oder zum Verkauf weiterer Daten führt.
