Mutmaßliches Revolut-Datenleck: Datensätze von 75 Millionen Kunden zum Verkauf angeboten

Ein Bedrohungsakteur behauptet, 75 Millionen Kundendatensätze von Revolut in einem Cybercrime-Forum zum Verkauf anzubieten.

Das mutmaßliche Revolut-Datenleck soll Namen, E-Mail-Adressen, Telefonnummern, Anschriften und teilweise Zahlungskartendaten enthalten. Die behauptete Anzahl der Datensätze konnte jedoch bislang nicht bestätigt werden.

Revolut erklärt, man sei sich des Angebots bewusst, habe jedoch keine Hinweise auf einen Sicherheitsvorfall gefunden.

Beispieldaten enthalten Kunden- und Geräteinformationen

Sicherheitsforscher überprüften mehr als 100 Beispieldatensätze, die in vier CSV-Dateien veröffentlicht wurden.

Die Datensätze enthielten teilweise Zahlungskarteninformationen, darunter die letzten vier Ziffern der Kartennummer, Kartentyp, Ablaufdatum und Kartenstatus.

Außerdem waren E-Mail-Adressen, Namen, Telefonnummern und Wohnanschriften enthalten. Weitere Felder umfassten Wohnsitzländer, registrierte IP-Adressen und Kontokennungen.

Einige Datensätze enthielten zudem Gerätemodelle, Betriebssysteme und Zeitstempel. Auch Passwort-Hashes im bcrypt- oder Argon2id-Format waren in den Beispielen enthalten.

Die neuesten Datensätze schienen aus etwa Mai 2025 zu stammen.

Revolut sieht keine Hinweise auf einen Sicherheitsvorfall

Revolut teilte mit, die Behauptungen derzeit zu untersuchen.

Ein Unternehmenssprecher erklärte, bislang gebe es keinerlei Hinweise auf eine Datenschutzverletzung. Zudem enthalte das Angebot keine Belege für den behaupteten Umfang der Daten.

Der Verkäufer soll die Datenbank Berichten zufolge für 500 US-Dollar angeboten haben. Sicherheitsforscher halten diesen Preis für ungewöhnlich niedrig, falls es sich tatsächlich um einen Datensatz mit 75 Millionen Einträgen handeln sollte.

Forscher zweifeln das mutmaßliche Datenleck an

Die Sicherheitsforscher konnten die behauptete Gesamtzahl von 75 Millionen Datensätzen nicht bestätigen.

Außerdem gibt es keine Beweise, die die Beispieldaten mit einem bekannten Sicherheitsvorfall bei Revolut in Verbindung bringen. Die Herkunft der Daten bleibt daher unklar.

Wahrscheinlicher ist, dass der Datensatz Informationen aus mehreren unterschiedlichen Quellen kombiniert. Auch die Formulierung des Forumseintrags spricht für diese Möglichkeit.

Revolut-Nutzer sollten auf Phishing achten

Sollten die Daten echt sein, könnten sie für überzeugende Phishing-Kampagnen genutzt werden.

Namen, Kontaktdaten und Geräteinformationen können Cyberkriminellen dabei helfen, sich als Bank oder Finanz-App auszugeben. Teilweise Zahlungskartendaten könnten betrügerische Nachrichten zusätzlich glaubwürdiger erscheinen lassen.

Revolut-Nutzer sollten daher bei unerwarteten E-Mails, SMS und Telefonanrufen vorsichtig sein. Passwörter, Einmalcodes oder Kartendaten sollten niemals über unaufgeforderte Nachrichten weitergegeben werden.

Bereits 2022 waren zudem mehr als 50.000 Revolut-Kunden von einem separaten gezielten Cyberangriff betroffen.