Revolut gab Kundendaten nach Annahme einer gefälschten Behördenanfrage weiter
Wichtige Erkenntnisse
- •Revolut behandelte eine betrügerische Anfrage im Stil eines Behördenersuchens als legitim und legte Kundendaten offen.
- •Die verfügbaren Belege klären weder den Zeitpunkt noch den Ort des Vorfalls, die weitergegebenen Datensätze oder die Zahl der betroffenen Kunden.
- •Der konkrete Fehler bei der Verifizierung und der Übermittlungskanal bleiben unbekannt.
- •Das FBI hat Unternehmen vor Kriminellen gewarnt, die sich als Amtsträger ausgeben und gefälschte Notfall-Datenanfragen stellen.
- •In den verfügbaren Belegen findet sich keine bestätigte Benachrichtigung der Kunden, Reaktion des Unternehmens oder Maßnahme zur Behebung.
Das Fintech-Unternehmen Revolut gab Kundendaten weiter, nachdem es eine behördliche Anfrage akzeptiert hatte, die sich später als gefälscht herausstellte, wie aus den Berichten über den Vorfall hervorgeht. Der Fall zeigt, wie sich Kriminelle als offizielle Behörde ausgeben und ein Unternehmen dazu bringen können, sensible personenbezogene Daten herauszugeben.
Was passiert ist
Revolut legte Kundendaten offen, nachdem das Unternehmen eine betrügerische Anfrage als legitim behandelt hatte. Laut Berichten von CryptoSlate war die Anfrage so gestaltet, dass sie den Anschein erweckte, von einer Regierungsbehörde ausgestellt worden zu sein.
Die verfügbaren Belege bestätigen weder das genaue Datum des Vorfalls noch den betroffenen Zuständigkeitsbereich. Sie geben außerdem nicht an, welche Arten von Datensätzen genau offengelegt wurden. Die Zahl der betroffenen Kunden und das vollständige Ausmaß der Auswirkungen sind weiterhin unbestätigt.
Revolut ist in den vergangenen Jahren schnell gewachsen, unter anderem durch die Einführung eines Euro-Stablecoins in der Europäischen Union. Dieses Wachstum macht den Schutz von Kundendaten für eine große Nutzerbasis zu einem wichtigen Anliegen.
Fragen zur Verifizierung bleiben offen
Im Mittelpunkt steht die Frage, wie die Anfrage überprüft wurde. Obwohl die Anfrage betrügerisch war, wurde sie akzeptiert. Dies deutet auf eine Lücke in dem Verfahren hin, mit dem solche Forderungen authentifiziert werden. Die Nachahmung von Strafverfolgungsbehörden oder Regierungsstellen, um Nutzerdaten zu erlangen, ist eine bekannte Taktik.
Das U.S. Federal Bureau of Investigation hat vor betrügerischen „emergency data requests“ gewarnt, die von Kriminellen, die sich als Amtsträger ausgeben, an Unternehmen gesendet werden. Die entsprechende öffentliche Warnung ist unter ic3.gov verfügbar.
Die verfügbaren Belege erklären nicht, über welchen Kanal die gefälschte Anfrage eingereicht wurde. Sie beschreiben auch nicht, welche Prüfungen Revolut vor der Herausgabe der Daten durchgeführt hat. Daher ist der konkrete Verfahrensfehler nicht bestätigt.
Auswirkungen auf Kunden und Reaktion des Unternehmens sind unbestätigt
Die Belege zeigen, dass Datensätze herausgegeben wurden, liefern jedoch keine verifizierte Zahl der betroffenen Kunden. Auch die genaue Zusammensetzung der offengelegten Dokumente ist nicht geklärt.
In den verfügbaren Belegen findet sich keine bestätigte Stellungnahme des Unternehmens, keine Benachrichtigung der Kunden und kein Maßnahmenplan zur Behebung. Das Ausmaß eines möglichen Schadens für Kunden kann daher derzeit nicht verlässlich angegeben werden.
Für Revolut-Nutzer besteht die praktische Reaktion darin, auf ungewöhnliche Kontoaktivitäten und Phishing-Versuche zu achten. Durchgesickerte Identitätsdokumente können bei weiteren Betrugsversuchen wiederverwendet werden. Revolut verfolgt zudem weiterhin seine Bankambitionen, einschließlich der bedingten Genehmigung auf dem Weg zu einer US-Banklizenz im Jahr 2027. Dadurch gewinnt der Schutz der Kundendaten zusätzlich an Bedeutung.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte sind mit erheblichen Risiken verbunden. Leser sollten eigene Recherchen durchführen, bevor sie Entscheidungen treffen.
