Revolut udleverede kundedata til svindlere, der udgav sig for at repræsentere myndigheder

Revolut udleverede følsomme kundeoplysninger til svindlere, der udgav sig for at repræsentere en offentlig myndighed, har fintechvirksomheden bekræftet. Angriberne brugte angiveligt en e-mailadresse på et legitimt myndighedsdomæne til at indsende falske anmodninger om oplysninger.

De eksponerede oplysninger kan omfatte identitetsdokumenter, verifikationsselfies og komplette transaktionshistorikker. Revolut oplyste dog, at hændelsen kun berørte et begrænset antal kunder.

Svindlere brugte en legitim e-mailadresse fra en myndighed

Revolut beskrev hændelsen som et sofistikeret eksternt svindelnummer baseret på identitetsforfalskning. Angriberne indsendte anmodninger om oplysninger fra en autentisk e-mailadresse, der tilhørte en ikke navngivet offentlig myndighed.

Derfor fremstod anmodningerne som legitime for virksomheden. Revolut udleverede derefter kundeoplysninger til svindlerne uden at opdage, at de manglede den nødvendige autorisation.

Virksomheden har ikke identificeret den involverede myndighed. Det er også uklart, hvordan angriberne fik adgang til dens e-mailsystem.

Efter at have opdaget svindlen blokerede Revolut den kompromitterede adresse. Virksomheden underrettede også den berørte myndighed, retshåndhævende myndigheder, databeskyttelsesmyndigheder og finansielle tilsynsmyndigheder.

Eksponerede data omfattede identitetsdokumenter

Rapporter viser, at de udleverede Revolut-kundedata omfattede navne, fødselsdatoer og erhverv. Postadresser, e-mailadresser og telefonnumre blev også berørt.

Mere følsomme oplysninger omfattede angiveligt kopier af pas og kørekort. Derudover kan nogle kunder have fået eksponeret deres verifikationsselfies, kontoudtog og transaktionshistorikker.

Separate rapporter tyder på, at oplysningerne også indeholdt IBAN-numre, registreringer af kontanthævninger og Bitcoin-transaktioner. Revolut har dog ikke offentligt bekræftet alle kategorier af kompromitterede data.

Sådanne oplysninger kan hjælpe kriminelle med at begå identitetstyveri, målrettet phishing eller økonomisk svindel. Transaktionsoplysninger kan også afsløre, hvor kunder handler, rejser og overfører penge.

Revolut siger, at kun et begrænset antal kunder blev berørt

Revolut har ikke oplyst det præcise antal personer, der blev berørt af hændelsen. En talsperson for virksomheden sagde dog, at svindlen involverede et begrænset antal kunder.

Virksomheden kontaktede disse personer direkte efter at have opdaget de uautoriserede udleveringer af oplysninger. En berørt kunde kritiserede offentligt hændelsen efter for nylig at have modtaget en separat anmodning om at udlevere omfattende kontooplysninger.

Revolut understregede, at angriberne ikke kompromitterede virksomhedens interne systemer. Virksomheden oplyste også, at kundernes penge forblev sikre.

Hændelsen ser derfor ud til at involvere falske anmodninger om oplysninger snarere end et direkte indbrud i Revoluts infrastruktur.

Tidligere påstand om datasalg er fortsat ubekræftet

Svindlen følger efter en separat påstand om Revolut-kundedata. I juli 2026 hævdede en angriber at sælge oplysninger tilhørende 75 millioner kunder.

Den annoncerede database indeholdt angiveligt navne, adresser, telefonnumre, e-mailadresser og betalingskortoplysninger. Enhedsoplysninger og hashbaserede kontooplysninger var også opført.

Revolut oplyste dog, at virksomheden ikke fandt beviser for, at angribere havde brudt ind i dens systemer. Sikkerhedsforskere vurderede senere, at samlingen sandsynligvis kombinerede oplysninger fra flere uafhængige kilder.

Den tidligere påstand ser ud til at være adskilt fra den nyligt bekræftede udlevering. Revolut har mere end 80 millioner privatkunder og omkring 800.000 erhvervskunder på verdensplan.