Revolut meldet Datenschutzverletzung, nachdem Betrüger sich als Regierungsbehörde ausgaben, um KYC-Daten von Kunden zu erlangen

Revolut gab am 12. September bekannt, dass Betrüger, die sich als Regierungsbehörde ausgaben, das Fintech-Unternehmen dazu brachten, sensible Kundendaten preiszugeben — darunter Kopien von Reisepässen, Führerscheinen, Gesichtserkennungs-Selfies und vollständige Transaktionshistorien. Anders als bei den meisten Fintech-Datenschutzverletzungen dieses Jahres wurde kein Server gehackt und kein Passwort gestohlen — der Angreifer fragte einfach, unter Verwendung eines gestohlenen, aber echt aussehenden Regierungs-E-Mail-Kontos.

Der Vorfall veranschaulicht eine wachsende Betrugskategorie, die Sicherheitsteams als "Missbrauch vertrauenswürdiger Kanäle" bezeichnen: Anstatt in ein System einzudringen, kompromittiert oder fälscht ein Angreifer einen Kanal, dem das Unternehmen bereits vertraut — in diesem Fall offizielle Datenanfragen von Strafverfolgungsbehörden — und lässt den eigenen Compliance-Prozess des Ziels die Arbeit der Datenexfiltration erledigen.

Wie der Betrug funktionierte

Laut Revolut und Berichten von TechCrunch erhielt ein unbefugter Dritter Zugang zu einem E-Mail-Konto einer legitimen Regierungsbehörde oder fälschte dieses überzeugend. Die betrügerische Anfrage führte zur Offenlegung von vollständigen Namen, Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern und Berufen einer Gruppe von Kunden. Noch gravierender: Der Angreifer erhielt auch Kopien von staatlich ausgestellten Ausweisdokumenten — Reisepässe und Führerscheine — zusammen mit den Gesichtserkennungs-Selfies. Finanzunterlagen einschließlich Kontoauszügen, IBANs, Transaktionshistorien und Abhebungsdetails wurden ebenfalls offengelegt, wobei die offengelegten Daten Berichten zufolge auch Kryptowährungs-Transaktionshistorien umfassten.

Wer das Ziel war

Revolut hat nur bestätigt, dass eine "begrenzte Anzahl" von Kunden betroffen war. Der Krypto-Ermittler ZachXBT schätzte, dass das Muster der offengelegten Daten — KYC-Dokumente gepaart mit detaillierten Bitcoin-Transaktionshistorien — auf eine gezielte Operation hindeutet, die darauf abzielt, Profile von vermögenden Personen zu erstellen.

Revoluts Reaktion

Revolut erklärt, das betrügerische System identifiziert und die kompromittierte E-Mail-Adresse blockiert zu haben, und die betroffenen Kunden anschließend direkt benachrichtigt zu haben. Das Unternehmen alarmierte auch die Regierungsbehörde, deren Identität missbraucht wurde, sowie Strafverfolgungsbehörden und Finanzaufsichtsbehörden. Revolut betont, dass seine Kernsysteme, Infrastruktur und Kundengelder nicht kompromittiert wurden.

Warum dies über Revolut hinaus wichtig ist

Jedes regulierte Finanzinstitut betreibt eine ähnliche Pipeline. Finanzinstitute sollten die Out-of-Band-Verifizierung des anfragenden Beamten — ein Rückruf an eine bekannte Nummer, keine Antwort auf die E-Mail selbst — als verpflichtend und nicht optional behandeln.