Revolut-Datenleck: Hacker nutzen echte Behörden-Domain für Diebstahl

Die Neobank Revolut muss sich mit einem Datenvorfall auseinandersetzen. Täter nutzten eine echte Behörden-Domain, um an sensible Informationen zu kommen.

Eigentlich setzt Europas größte Neobank gerade zum Sprung über den großen Teich an. Revolut strebt auch in den USA eine Zulassung als Bank an. Da kommt es extrem ungelegen, dass sich die Neobank nun mit einem Datenschutzvorfall beschäftigen muss. Bei dem Hack wurden offenbar gezielt vermögende Personen ins Visier genommen.

So kamen die Täter an die Daten

Die Neobank hat bereits eingeräumt, Ziel eines „ausgeklügelten externen Betrugsversuchs“ geworden zu sein, bei dem sensible Kundendaten abflossen. Ein unbefugter Dritter habe eine legitime E-Mail-Domain einer Regierungsbehörde genutzt, um betrügerische Auskunftsanfragen zu stellen.

Finanzinstitute sind gesetzlich dazu verpflichtet, offiziellen Anfragen von Strafverfolgungs- oder Regierungsbehörden nachzukommen. Da die Mail in diesem Fall von einer verifizierten Regierungsdomain kam, bearbeitete Revolut die Anfragen entsprechend und gab die geforderten Daten weiter.

Erst durch eine spätere Nachfrage der Bank bei der Behörde soll der Betrug aufgefallen sein. Von welcher Regulierungsbehörde die betrügerische Mail kam, ist nicht bekannt. Revolut macht dazu keine Angaben. Ob andere Banken oder Fintechs ebenfalls solche Mails erhalten haben, ist ebenfalls unklar.

Auch deutsche Kunden von Datenabfluss betroffen

Das IT-System von Revolut und auch Kundengelder sind von der Hacker-Attacke aber nicht betroffen, betont das Fintech. Nach der Entdeckung hat Revolut die betreffende Adresse zwar umgehend gesperrt und den Vorfall an die zuständigen Regierungsstellen und Strafverfolgungsbehörden gemeldet. Doch zu diesem Zeitpunkt hatten die Angreifer offenbar schon einige Daten erhalten.

Betroffen sind wohl einige hundert Kundinnen und Kunden, eine kleine Zahl auch in Deutschland; sie wurden von Revolut direkt kontaktiert. Zu den herausgegebenen Daten gehörten Identitäts- und Kontaktdaten wie etwa das Geburtsdatum, Post- und E-Mail-Adresse, Telefonnummern sowie Transaktionsdaten einschließlich Bitcoin-Transaktionen. Außerdem wurden Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen weitergegeben.

Erpressungsversuch auf Telegram

Der Krypto-Sicherheitsforscher ZachXBT berichtete laut Techcrunch bereits am Abend des 11. September 2024 über die E-Mail von Revolut an die betroffenen Kundinnen und Kunden. Er vermutete, dass vor allem vermögende Einzelpersonen Ziel der Attacke sind.

Mittlerweile haben die Hacker offenbar einen Erpressungsversuch gestartet und nach Angaben des Analysedienstes International Cyber Digest unter anderem Ausweisdokumente und Selfies des Tennisspielers Alexander Shevchenko sowie von Felix Römer, CEO des Online-Krypto-Casinos Gamdom, in einer Telegram-Gruppe veröffentlicht. Weitere Veröffentlichungen sollen folgen, wenn Revolut nicht zahlt. Ob hinter dem Erpressungsversuch tatsächlich die Hacker stehen und ob die veröffentlichten Dokumente echt sind, ist bislang nicht verifiziert.

Römer selbst schreibt in einem X-Post, er und andere Kundinnen und Kunden seien schon vor zwei Monaten mit den kompromittierten Daten erpresst worden. Weltweit vertrauen nach Angaben der Bank mehr als 80 Millionen Kundinnen und Kunden in mehr als 30 Ländern auf die Dienste von Revolut. Zuletzt baute die Neobank unter anderem die Präsenz in Indien, Mexiko und den Vereinigten Arabischen Emiraten aus.

Anfang September erhielt Revolut außerdem eine eingeschränkte Genehmigung der US-amerikanischen Bankenaufsicht. Ziel ist es, in der ersten Hälfte des kommenden Jahres eine Bank in den USA aufzubauen.