Revolut hat ein Datenleck offengelegt, nachdem das Unternehmen sensible Kundeninformationen an einen Angreifer gesendet hatte, der sich als Regierungsbehörde ausgab. Zu den offengelegten Daten gehören Identitätsdokumente, Bilder zur Gesichtsverifizierung, Kontoauszüge und vollständige Transaktionsverläufe.
Das Fintech-Unternehmen erklärte, dass der Vorfall eine sehr begrenzte Anzahl von Kunden betraf. Die genaue Zahl wurde jedoch nicht bekannt gegeben.
Angreifer nutzte offizielle E-Mail-Domain einer Behörde
Der Vorfall begann, als Revolut eine E-Mail mit einer Anfrage nach Kundeninformationen erhielt. Die Nachricht schien von einer legitimen Regierungsorganisation zu stammen.
Nach Angaben des Unternehmens wurde die Anfrage von einem nicht autorisierten Konto direkt über die offizielle E-Mail-Domain der Behörde gesendet. Die Nachricht verfügte außerdem über gültige Anmeldedaten zur Domain-Authentifizierung.
Daher ging Revolut davon aus, dass die Anfrage echt war, und stellte die angeforderten Kundeninformationen bereit. Das Unternehmen nannte weder die beteiligte Regierungsbehörde noch erklärte es, wie der Angreifer Zugriff auf deren E-Mail-System erlangte.
Revolut ist in mehr als 160 Ländern und Regionen tätig. Das Unternehmen bietet Bank-, Anlage- und Geldverwaltungsdienste für mehr als 80 Millionen Kunden an, darunter 800.000 Geschäftskunden.
Datenleck legt Identitätsdokumente und Selfies offen
Das Revolut-Datenleck legte mehrere Arten personenbezogener Daten offen. Zu den weitergegebenen Informationen gehörten die vollständigen Namen, Geburtsdaten und Berufe der Kunden.
Die Angreifer erhielten außerdem Postanschriften, E-Mail-Adressen und Telefonnummern. Darüber hinaus enthielten die kompromittierten Daten Kopien von Reisepässen oder Führerscheinen.
Revolut gab auch Bilder zur Gesichtsverifizierung weiter, die im Rahmen von Know-Your-Customer-Prüfungen eingereicht worden waren. Kunden stellen diese Selfies üblicherweise zur Verfügung, wenn sie ein Konto erstellen und verifizieren.
Diese Kombination stellt ein erhebliches Risiko für Identitätsdiebstahl und Identitätsmissbrauch dar. Kriminelle könnten die Informationen außerdem nutzen, um überzeugende Phishing-Nachrichten zu erstellen, die sich gezielt an betroffene Kunden richten.
Finanz- und Bitcoin-Daten ebenfalls enthalten
Die offengelegten Informationen gingen über Identitäts- und Kontaktdaten hinaus. Revolut gab Kontoauszüge mit internationalen Bankkontonummern sowie Aufzeichnungen über Abhebungen weiter.
Darüber hinaus legte das Datenleck vollständige Transaktionsverläufe offen. Diese Aufzeichnungen enthielten auch die Bitcoin-Transaktionen der Kunden.
Revolut erklärte, dass seine internen Systeme und die Kundengelder nicht betroffen waren. Der Vorfall entstand daher nicht dadurch, dass Angreifer direkt in die Banking-Plattform des Unternehmens eingedrungen waren.
Die detaillierten Finanzdaten könnten Kriminellen jedoch dabei helfen, besonders wertvolle Ziele zu identifizieren. Der Ermittler für Kryptobetrug ZachXBT vermutete, dass der Angreifer möglicherweise gezielt wohlhabende Revolut-Nutzer ins Visier genommen hatte.
Revolut informiert Behörden und Aufsichtsstellen
Revolut sperrte die nicht autorisierte E-Mail-Adresse, nachdem das Unternehmen den Vorfall entdeckt hatte. Es informierte außerdem die betroffene Regierungsbehörde und die zuständigen Strafverfolgungsbehörden.
Darüber hinaus benachrichtigte das Unternehmen Datenschutzbehörden und Finanzaufsichtsbehörden. Revolut hat damit begonnen, Kunden zu kontaktieren, deren Informationen in den offengelegten Daten enthalten waren.
Das Unternehmen bezeichnete die Zahl der betroffenen Nutzer als sehr begrenzt. Dennoch lehnte es die Angabe einer genauen Zahl ab.
Betroffene Kunden sollten auf gezielte Phishing-Angriffe, Identitätsbetrug und Versuche der Konto-Imitation achten. Sie sollten außerdem bei Nachrichten vorsichtig sein, die korrekte persönliche oder finanzielle Angaben enthalten.
Frühere Datenpanne betraf mehr als 50.000 Kunden
Der Vorfall folgt auf ein weiteres Revolut-Datenleck, das im September 2022 bekannt gegeben wurde. In diesem Fall stahlen Angreifer persönliche Daten, Kontaktinformationen und Finanzdaten von 50.150 Kunden.
Die gestohlenen Daten führten später zu einer Welle von Phishing-Versuchen. Ebenso könnten Kriminelle Informationen aus dem jüngsten Datenleck nutzen, um betrügerische Nachrichten legitim erscheinen zu lassen.
Revolut-Kunden, die von dem neuen Vorfall betroffen sind, sollten ihre Konten überwachen und ungewöhnliche Anfragen über offizielle Supportkanäle überprüfen. Sie sollten außerdem keine Verifizierungscodes oder Zugangsdaten als Reaktion auf unerwartete Nachrichten weitergeben.
0 Kommentare zu „Revolut-Datenleck legt Reisepässe und Finanzdaten offen“