Revolut hat sensible Kundendaten an eine gefälschte Behördenadresse herausgegeben. Das bestätigte die britische Digitalbank gegenüber Reuters. Unter den übermittelten Informationen befinden sich auch vollständige Transaktionshistorien, einschließlich Bitcoin-Transaktionen.
Der Weg der Angreifer war ebenso einfach wie effektiv: Sie legten ein E-Mail-Konto direkt in der Domain-Infrastruktur einer echten Behörde an. Da die Anfrage von einer legitimen Adresse mit gültigen Authentifizierungsmerkmalen stammte, stufte Revolut sie als rechtmäßig ein und händigte die Daten aus. Erst eine spätere Nachfrage der Bank bei der Behörde ließ den Betrug auffliegen.
Neben Bankdaten gelangten Namen, Geburtsdaten, Beruf, Adressen, Telefonnummern, Kopien von Ausweisdokumenten und Verifizierungsfotos von Kunden in die Hände der Täter. Biometrische Gesichtsdaten seien nicht betroffen, so Revolut. Betroffen sei nur eine sehr begrenzte Zahl von Kunden, eine konkrete Zahl jedoch, nennt das Unternehmen nicht. IT-Systeme und Kundengelder seien unversehrt.
Angreifer veröffentlichen erste Daten
Inzwischen haben die Täter begonnen, Material zu veröffentlichen. Nach Angaben des Analysedienstes International Cyber Digest betrifft das unter anderem Ausweisdokumente und Selfies des Tennisspielers Alexander Shevchenko sowie des Gamdom-Chefs Felix Römer. Über Telegram kündigten die Angreifer an, täglich weitere Daten freizugeben, bis Revolut zahle.
Wie hoch die Forderung ausfällt, ist offen. In Berichten kursiert eine Summe von 10.000 Bitcoin, umgerechnet rund 780 Millionen US-Dollar. Bestätigt ist sie nicht, weder von Revolut noch von Ermittlungsbehörden. Auch die Echtheit der veröffentlichten Dokumente hat die Bank bislang nicht verifiziert.
Für Krypto-Kunden wiegt der Vorfall besonders schwer. Wer Wohnadresse, Ausweisdokument und Transaktionshistorie in einem Datensatz offenliegen hat, wird zur Zielscheibe. Wie schnell aus abgeflossenen Kundendaten gezielte Angriffe werden, zeigte zuletzt der Fall Trezor, wo nach einem Datenleck Phishing-Mails über eine offizielle Unternehmensdomain verschickt wurden.
Wer sonst noch betroffen sein könnte
Offen bleibt, um welche Behörde es sich handelt. Weder Revolut noch die Behörde selbst haben sich dazu öffentlich geäußert. Damit ist auch unklar, ob andere Banken oder Krypto-Börsen über denselben Kanal Anfragen erhielten und beantworteten. Solange die verwendete Adresse nicht bekannt sei, könnten weitere Unternehmen in derselben Falle sitzen, ohne es zu bemerken.
Revolut zählt europaweit über 50 Millionen Kunden und bereitet derzeit einen Börsengang vor, angestrebt wird eine Bewertung von bis zu 200 Milliarden US-Dollar.
