Revolut heeft gevoelige klantgegevens bekendgemaakt nadat het een phishingverzoek als legitieme communicatie van een overheidsinstantie had behandeld, meldt CryptoNinjas.

De blootgestelde informatie omvatte naar verluidt kopieën van paspoorten en rijbewijzen, selfies voor verificatie, volledige Bitcoin-transactiegeschiedenissen en woonadressen. Blockchainonderzoeker ZachXBT zei dat het incident qua omvang beperkt leek, maar mogelijk gericht was op vermogende gebruikers van cryptovaluta.

Het incident kreeg een gebruikersscore van 8.7. Het onderstreept de risico’s van beveiligingscontroles die op vertrouwen zijn gebaseerd wanneer een verzoek afkomstig lijkt te zijn van een officieel overheids-e-mailadres.

Revolut behandelde frauduleus verzoek als officieel

In een klantmelding stond dat Revolut een verzoek had ontvangen van een geldige overheidsinstantie waarin werd beweerd klantgegevens te bevatten. Het verzoek was verzonden vanaf een ongeautoriseerd e-mailadres op het officiële domein van de instantie, maar beschikte over geldige domeinauthenticatiegegevens. Revolut behandelde de communicatie daarom als een authentiek overheidsverzoek en verstrekte klantgegevens voordat werd ontdekt dat het om fraude ging.

De vrijgegeven gegevens vielen in verschillende categorieën, waaronder persoonlijke, contact-, identiteits- en financiële informatie. Volgens de melding ging het onder meer om de volledige namen, postadressen, e-mailadressen, geboortedata, beroepen en telefoonnummers van klanten.

Bitcoin-transactiegeschiedenissen bij blootgestelde gegevens

De financiële informatie is vooral relevant voor gebruikers van cryptovaluta. Revolut zei dat de vrijgegeven documenten rekeningafschriften, IBAN’s, rekeningstatusinformatie, walletreferentienummers, opnamegeschiedenis en volledige transactiegegevens bevatten, waaronder Bitcoin-transacties.

De gegevens omvatten ook identiteitsdocumenten en informatie die bedoeld was om foto’s en kopieën van paspoorten of rijbewijzen aan te vullen. Revolut verklaarde specifiek dat biometrische gezichtstelemetriegegevens niet waren opgenomen.

De bekendmaking kan een koppeling creëren tussen identiteiten in de echte wereld en activiteiten met cryptovaluta. Identiteitsdocumenten, adressen en telefoonnummers worden doorgaans off-chain opgeslagen, terwijl Bitcoin-transacties publiekelijk on-chain worden vastgelegd. Dat onderscheid betekent dat het incident betrekking had op informatie die door een financieel platform werd bewaard, en niet op een wijziging van de Bitcoin-transactiegegevens of de netwerkbeveiliging.

ZachXBT wijst op mogelijke gerichte aanval

ZachXBT vestigde in een communitymelding op Telegram bredere aandacht op het incident. Hij zei dat het aantal getroffen gebruikers waarschijnlijk beperkt was en suggereerde dat het incident gericht leek op vermogende personen.

Voor gebruikers met aanzienlijke Bitcoin-activiteit op hun Revolut-rekeningen kan het combineren van transactiegegevens met identiteits- en locatiegegevens aanvallers een gedetailleerd profiel geven van hun financiële en on-chain geschiedenis.

Na de ontdekking van de fraude informeerde Revolut de getroffen personen. Het bedrijf zei ook dat het incident geen verband hield met diefstal van klanttegoeden. De gemelde reactie was daarom gericht op de blootstelling van rekening- en identiteitsgegevens; in de beschikbare melding werd geen verlies van klantactiva beschreven.

De zaak illustreert een vorm van beveiligingsrisico rond cryptovaluta waarvoor een aanvaller geen blockchain hoeft te compromitteren of een privésleutel hoeft te verkrijgen. Toegang tot off-chain informatie die een Bitcoin-gebruiker aan diens activiteit koppelt, kan ook aanzienlijke risico’s creëren voor Bitcoinbezitters.