Der britische Fintech-Konzern Revolut bestätigte, dass er sensible Kundeninformationen an einen unbefugten Dritten weitergegeben hat, nachdem er betrügerische Anfragen über eine legitime Regierungs-E-Mail-Domäne erhalten hatte.
Die offengelegten Daten umfassten Identitäts- und Kontaktdaten der Kunden — Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern — sowie Kopien von Identitätsdokumenten einschließlich Reisepässe und Führerscheine. Die Daten könnten auch Verifizierungsfotos, Kontoauszüge und Transaktionshistorien einschließlich Bitcoin-Aufzeichnungen umfasst haben.
Revolut identifizierte kürzlich einen ausgefeilten externen Identitätsbetrug, bei dem ein unbefugter Dritter eine legitime Regierungs-E-Mail-Domäne nutzte, um betrügerische Informationsanfragen zu stellen, sagte ein Revolut-Sprecher gegenüber TechCrunch.
Das Unternehmen blockierte die E-Mail-Adresse nach der Entdeckung des Betrugs und benachrichtigte die zuständige Regierungsbehörde, Strafverfolgungsbehörden und Regulierungsbehörden. Revolut teilte mit, dass seine Systeme und Kundengelder unberührt sind.
Der bekannte Krypto-Sicherheitsforscher ZachXBT berichtete über den Vorfall und sagte, er scheine wohlhabende Nutzer ins Visier genommen zu haben. Der Forscher meldete den Vorfall, nachdem er die Benachrichtigungs-E-Mails von Revolut an betroffene Kunden überprüft hatte.
Der in London ansässige Revolut hat weltweit mehr als 80 Millionen Kunden und operiert als Bank in mehr als 30 Ländern. Der Fintech-Konzern hat kürzlich seine Präsenz auf Märkte wie Indien, Mexiko, Frankreich und die VAE ausgeweitet. Anfang dieses Monats erteilte das US Office of the Comptroller of the Currency die bedingte Genehmigung für Revolut, eine Nationalbank in den USA zu gründen, die in der ersten Hälfte des Jahres 2027 starten soll.
Der Vorfall ereignet sich, während Revolut laut Berichten einen potenziellen Börsengang erwägt, der das Unternehmen mit bis zu 200 Milliarden Dollar bewerten könnte — gegenüber seiner privaten Bewertung von 75 Milliarden Dollar im November.
Der Datenschutzverstoß hebt eine wachsende Klasse von Social-Engineering-Angriffen hervor, bei denen Angreifer das Vertrauensverhältnis zwischen Regierungsbehörden und regulierten Finanzinstituten ausnutzen.
