Revolut, das britische Fintech-Unternehmen, das eine Banklizenz und eine mögliche Bewertung von rund $200 Milliarden anstrebt, hat sensible Kundendaten an eine Person weitergegeben, die sich als Regierungsbeamter ausgab. Der Angreifer drang nicht in die Systeme von Revolut ein, sondern nutzte eine überzeugende E-Mail, um die Informationen anzufordern.

Revolut bezeichnete den Vorfall als „ausgeklügelten externen Identitätsbetrug“. Zu den offengelegten Informationen gehörten Ausweisdokumente, Selfies zur Verifizierung, vollständige Namen, Geburtsdaten, Kontaktdaten, Finanzunterlagen wie IBANs, Abhebungshistorien und transaktionsbezogene Bitcoin-Daten. Das Unternehmen begann am 11. September 2026 mit der Benachrichtigung von Kunden. Über den Vorfall berichtete CryptoBriefing.

Wie die betrügerische E-Mail die Sicherheitsprüfungen bestand

Die Anfrage schien von der E-Mail-Domain einer legitimen Regierungsbehörde zu stammen. Noch wichtiger war, dass sie die SPF-, DKIM- und DMARC-Prüfungen bestand – drei E-Mail-Authentifizierungsprotokolle, mit denen die Identität des Absenders und die Integrität einer Nachricht überprüft werden.

SPF bestätigt, dass eine E-Mail von einem autorisierten Server gesendet wurde. DKIM überprüft, dass die Nachricht während der Übertragung nicht verändert wurde. DMARC verknüpft diese Prüfungen und legt fest, wie ein Empfänger reagieren soll, wenn eine der beiden Prüfungen fehlschlägt. In diesem Fall bestanden alle drei Prüfungen.

Daher hatte das Compliance-Team von Revolut technische Gründe, die Anfrage als authentisch einzustufen. Das Team bearbeitete sie und stellte einem nicht autorisierten Dritten Kundendaten zur Verfügung, der scheinbar gültige Zugangsdaten erstellt hatte, ohne auf die internen Systeme von Revolut zuzugreifen.

Es wurden keine Passwörter gestohlen und keine PINs oder privaten Schlüssel kompromittiert. Revolut erklärte zudem, dass keine Kundengelder bewegt wurden. Dennoch wurden personenbezogene und finanzielle Daten über den Prozess des Unternehmens zur Bearbeitung offizieller Datenanfragen offengelegt.

Bitcoin-Transaktionsdaten unter den offengelegten Informationen

Die Einbeziehung von Bitcoin-Transaktionshistorien verleiht dem Vorfall eine spezifische Kryptowährungsdimension. In Kombination mit Ausweisdokumenten und Selfies zur Verifizierung könnten solche Informationen Kriminellen Material für Identitätsbetrug, Social-Engineering-Versuche oder gezielte Phishing-Kampagnen gegen Krypto-Besitzer liefern.

Revolut bezeichnete die Zahl der betroffenen Kunden als „begrenzt“, hat jedoch keine genaue Zahl genannt. Die Aufmerksamkeit für den Vorfall nahm zu, nachdem betroffene Personen, darunter bekannte Vertreter der Kryptoindustrie, Details der erhaltenen Benachrichtigungen veröffentlicht hatten.

Angriff zielte auf Compliance-Verfahren

Der Vorfall umfasste weder einen Zero-Day-Exploit noch eine kompromittierte Datenbank. Stattdessen handelte es sich um einen Social-Engineering-Angriff auf den Compliance-Workflow von Revolut für die Beantwortung offizieller Datenanfragen von Regierungsbehörden.

Revolut hat die nicht autorisierte E-Mail-Adresse gesperrt und Strafverfolgungsbehörden sowie zuständige Aufsichtsbehörden benachrichtigt. Das Unternehmen erklärte, seine Systeme seien weiterhin nicht kompromittiert und keine Kundengelder betroffen.

Vorfall fällt mit Bemühungen um Lizenz und Börsennotierung zusammen

Die Offenlegung erfolgt, während Revolut eine Banklizenz anstrebt – ein Prozess, bei dem die operativen Kontrollen, einschließlich der Verfahren zum Umgang mit sensiblen Kundendaten, einer regulatorischen Prüfung unterliegen. Das Unternehmen prüft zudem einen Börsengang mit einer angestrebten Bewertung von rund $200 Milliarden.