Revolut, das in London ansässige Finanztechnologie-Unternehmen, hat nach einem Bericht des Financial Times sensible Informationen von 680 Kunden offengelegt, nachdem Cyberkriminelle über ein legitimes Regierung-E-Mail-Konto betrügerische Anfragen nach Kundendaten gestellt hatten.

Zu den offengelegten Informationen gehörten Reisepassdaten, Bankkontonummern, Heimatadressen, Bilder zur Identitätsverifizierung sowie Bitcoin-Aktivitäten. Laut Bericht drohen die Angreifer nun damit, die gestohlenen Informationen zu veröffentlichen, es sei denn, Revolut zahlt ein Lösegeld. Über den Vorfall wurde auch von @WuBlockchain auf X berichtet.

Statt eine konventionelle technische Schwachstelle auszunutzen, um direkt auf Kundensysteme zuzugreifen, nutzten die Angreifer laut Berichten den vertrauenswürdigen Status des Regierung-Kontos, um die Informationen von Revolut zu erhalten, und stellten dabei betrügerische Datenanfragen, die von einem offiziellen Kanal zu stammen schienen. Finanzinstitute erhalten regelmäßig offizielle Datenanfragen von Regierungsbehörden und handeln danach – ein Prozess, der auf der Annahme beruht, dass über autorisierte Kanäle eingehende Anweisungen echt sind. Sicherheitsforscher haben zuvor Fälle dokumentiert, in denen Kriminelle kompromittierte E-Mail-Konten von Regierungen oder Strafverfolgungsbehörden nutzten, um Unternehmen zur Herausgabe Nutzerdaten zu bewegen.

Revolut sperrt kompromittiertes Regierung-E-Mail-Konto

Revolut erklärte, das E-Mail-Konto nach der Erkennung der betrügerischen Aktivität gesperrt und sowohl Aufsichtsbehörden als auch betroffene Kunden informiert zu haben.

Das Unternehmen sieht sich zudem einer Prüfung durch die britische Information Commissioner's Office (ICO), der unabhängigen Datenschutz-Aufsichtsbehörde des Vereinigten Königreichs, gegenüber, die eine Untersuchung zu dem Vorfall eingeleitet hat. Die ICO ist befugt, Geldstrafen gegen Organisationen zu verhängen, die gegen Datenschutzrecht verstoßen haben. Das Eingreifen der Aufsichtsbehörde könnte den Fokus verstärkt darauf legen, wie Finanzinstitute Datenanfragen authentifizieren und sensible Kundinformationen im Umgang mit externen Behörden schützen.

Zu den Betroffenen gehörte auch Mark Karpelès, der frühere CEO der Bitcoin-Börse Mt. Gox – der in Tokio ansässigen Plattform, die 2014 nach einem der größten Hacks der Branche zusammenbrach – ein Detail, das die Bandbreite der betroffenen Kundinformationen unterstreicht.

Bitcoin-Aktivitäten unter den offengelegten Daten wecken Sicherheitsbedenken bei Krypto-Nutzern

Der Vorfall ist für Kryptowährungs-Nutzer von besonderer Bedeutung, da die kompromittierten Informationen laut Berichten neben konventionellen Finanz- und Identitätsdaten auch Bitcoin-Aktivitäten enthielten. Fintech-Unternehmen halten einen Großteil dieser Informationen, weil Anti-Geldwäsche-Vorschriften von ihnen verlangen, die Identität der Kunden zu überprüfen, bevor sie Dienstleistungen anbieten.

Die Kombination von Finanzinformationen mit Reisepassdaten, Wohnadressen und Bildern zur Identitätsverifizierung kann zusätzliche Risiken für die betroffenen Personen schaffen, insbesondere wenn Angreifer versuchen, das Material für weiteren Betrug oder Erpressung zu nutzen.

Der Vorfall unterstreicht zudem eine umfassendere Sicherheitsherausforderung für Finanztechnologie-Unternehmen: Legitime Kommunikationskanäle können selbst zu Werkzeugen der Social Engineering werden, wenn Angreifer Zugang zu vertrauenswürdigen institutionellen Konten erhalten.

Die Reaktion von Revolut, einschließlich der Sperrung des kompromittierten Kontos und der Benachrichtigung von Aufsichtsbehörden und Kunden, wird nun im Rahmen der ICO-Untersuchung geprüft. Die zentrale offene Frage ist, wie die betrügerischen Anfragen authentifiziert wurden und ob zusätzliche Schutzmaßnahmen erforderlich sind, um ähnliche Offenlegungen zu verhindern.

Quelle: Hokanews