Hacker, die sich für einen Datenleak bei Revolut verantwortlich zeichnen, einem der größten Finanztechnologieunternehmen Großbritanniens, haben ein Lösegeld von 3 Millionen US-Dollar in Monero gefordert und damit gedroht, vertrauliche Informationen von Hunderten von Kunden zu verkaufen, wie aus Berichten hervorgeht. Die Digitalbank erklärte jedoch, sie habe keine direkte Lösegeldforderung erhalten.

Die Gruppe, die sich selbst "iamnotavillain" nennt, soll Revolut 24 Stunden Zeit gegeben haben, um 6.000 Monero-Token im Wert von etwa 3 Millionen US-Dollar zu zahlen, andernfalls werde sie die gestohlenen Informationen an andere kriminelle Gruppen verkaufen. Das Ultimatum wurde laut Financial Times gemeinsam mit einem Countdown online veröffentlicht.

Die Forderung spiegelt den datenschutzorientierten Entwurf von Monero wider. Jede Monero-Transaktion erzeugt eine zufällige, einmalige Adresse, sodass Außenstehende Zahlungen nicht mit der öffentlichen Wallet eines bestimmten Nutzers verknüpfen können — eine Eigenschaft, die die Währung von pseudonymen öffentlichen Blockchains wie Bitcoin unterscheidet und sie zu einem wiederkehrenden Mittel bei Erpressungsforderungen gemacht hat.

Der Datenleak hat nach aktuellem Kenntnisstand etwa 680 Kunden betroffen, während Revoluts Kerninfrastruktur, Datenbanken und Kundenkonten nicht gehackt wurden, so eine mit der Sache vertraute Person.

Das Unternehmen hat mitgeteilt, dass vertrauliche Kundendaten an einen unbefugten Dritten offengelegt wurden, nachdem Angreifer betrügerische Anträge über eine legitime E-Mail-Domain einer Regierungsbehörde gestellt hatten. Zu den gestohlenen Informationen gehören laut Berichten Identitätsdokumente und weitere vertrauliche Kundendaten von mindestens 680 Revolut-Kunden.

Die Hacker behaupten, sie hätten ihre Ziele ausgewählt, indem sie per Blockchain-Analyse — der Auswertung öffentlich aufgezeichneter Transaktionsdaten zur Nachverfolgung von Wallet-Aktivitäten — Revolut-Konten mit erheblichen Krypto-Beständen identifizierten.

Revolut erklärte, es habe keinen direkten Kontakt mit den mutmaßlichen Angreifern gehabt und keine Lösegeldforderung erhalten, was den Erpressungsbehungen eine weitere Ebene der Ungewissheit hinzufügt.

Der Vorfall verdeutlicht ein wachsendes Cybersicherheitsrisiko für Finanz- und Krypto-Plattformen, bei dem Angreifer möglicherweise nicht in Kernbanksysteme eindringen müssen, wenn Social-Engineering-Angriffe — die darauf beruhen, Menschen zu täuschen und legitime Prozesse auszunutzen, statt technische Verteidigungen zu knacken — dazu genutzt werden können, vertrauliche Kundendaten über vertrauenswürdige Kanäle zu erlangen. Identitätsdokumente werden im gesamten Finanzwesen routinemäßig zur Verifizierung von Kunden verwendet und zählen damit zu den sensibleren Arten personenbezogener Daten, die ein Datenleak offenlegen kann. In Großbritannien müssen Organisationen die Information Commissioner's Office innerhalb von 72 Stunden nach Bekanntwerden einer Datenschutzverletzung benachrichtigen, die voraussichtlich ein Risiko für Einzelpersonen darstellt.