Revolut, das britische Fintech-Unternehmen, bestätigte am 12. September, dass es sensible Kundendaten offengelegt hat, nachdem betrügerische Datenanfragen von einer E-Mail-Adresse eingegangen waren, die eine legitime Regierungsbehörde imitierte.

Die gefälschten Nachrichten passierten die Authentifizierungsprüfungen SPF, DKIM und DMARC – die drei wichtigsten Protokolle, mit denen E-Mail-Server überprüfen, ob eine Nachricht von einer autorisierten Quelle stammt und ob ihr Inhalt verändert wurde. Diese Prüfungen helfen dabei, den technischen Ursprung und die Integrität einer E-Mail zu validieren. Sie stellen jedoch nicht allein sicher, dass eine Anfrage tatsächlich von der Regierungsbehörde stammt, als die sie sich ausgibt. Revolut bezeichnete den Vorfall als „ausgeklügelten externen Identitätsmissbrauch“.

Offengelegte Daten und ins Visier genommene Kunden

Zu den kompromittierten Informationen gehörten die vollständigen Namen, Geburtsdaten und Kontaktdaten von Kunden sowie Kopien von Identitätsdokumenten, Transaktionshistorien und Kontoauszügen. Revolut erklärte, dass keine biometrischen Gesichtstelemtriedaten weitergegeben worden seien, keine Kundengelder gestohlen worden seien und die zentralen Banksysteme nicht kompromittiert worden seien.

Das Unternehmen hat die genaue Zahl der betroffenen Nutzer nicht bekannt gegeben. Berichten zufolge könnte eine ausgewählte Gruppe vermögenderer Personen gezielt ins Visier genommen worden sein. Der On-Chain-Analyst ZachXBT erklärte, der Vorfall scheine einen begrenzten Umfang zu haben. Benachrichtigungen an Kunden kursierten ab etwa dem 11. September, einen Tag bevor Revolut die Datenpanne öffentlich bestätigte.

Wie die betrügerischen Anfragen die E-Mail-Sicherheitsvorkehrungen passierten

SPF prüft, ob der sendende Server berechtigt ist, im Namen einer Domain E-Mails zu versenden. DKIM überprüft, ob der Inhalt einer Nachricht während der Übertragung manipuliert wurde. DMARC verbindet diese Prüfungen und weist empfangende Server an, wie sie mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen.

Trotz dieser Sicherheitsvorkehrungen passierten die betrügerischen E-Mails alle drei Protokolle. Revolut erklärte, die betrügerische E-Mail-Adresse gesperrt, Aufsichtsbehörden und Strafverfolgungsbehörden kontaktiert sowie die Regierungsbehörde erreicht zu haben, deren Identität missbraucht worden war. Das Unternehmen hat diese Behörde bislang nicht öffentlich identifiziert.

Der Vorfall zeigt, warum eine authentifizierte E-Mail allein kein vollständiges Prüfverfahren für sensible Datenanfragen darstellt. Die Nachrichten passierten zwar die technischen Prüfungen, obwohl die Anfragen selbst betrügerisch waren. Daher sind die weiteren Kontakte des Unternehmens mit Aufsichtsbehörden, Strafverfolgungsbehörden und der imitierten Behörde Teil der laufenden Reaktion.

Früherer Sicherheitsvorfall

Die jüngste Datenpanne ist nicht der erste Datensicherheitsvorfall bei Revolut. Im Jahr 2022 war das Unternehmen von einer Datenpanne betroffen, die Zehntausende Kunden beeinträchtigte. Bei diesem Vorfall kam es durch Social Engineering eines Mitarbeiters zu einem unbefugten Zugriff. Der jüngste Vorfall zielte dagegen auf den Compliance-Prozess selbst und nicht auf die Zugangsdaten einzelner Mitarbeiter ab.

Der Vorfall ereignet sich zu einem ungünstigen Zeitpunkt für Revolut. Das Unternehmen treibt seine Expansion in Europa und darüber hinaus voran und hat Ambitionen für einen Börsengang signalisiert. Für Kunden besteht das unmittelbare Risiko weniger in finanziellen Verlusten als in der Offenlegung von Informationen. Identitätsdokumente und Transaktionshistorien können für Identitätsdiebstahl, gezielte Phishing-Kampagnen und Social-Engineering-Angriffe verwendet werden.

Quelle: CryptoBriefing