Der Fintech-Anbieter Revolut hat sensible Kundendaten – darunter Pässe und Bitcoin-Transaktionshistorien – an einen Betrüger weitergegeben, der sich als Regierungsbehörde ausgab. Das Unternehmen bestätigte einen „sophistizierten Betrugfall" und sprach von einer „begrenzten Anzahl" betroffener Nutzer.
Revolut erhielt eine Informationsanfrage, die von einer legitimen Regierungsbehörden-Mailadresse zu stammen schien. Da die E-Mail gültige Domain-Authentifizierungszertifikate trug, erfüllte das Unternehmen die Anfrage, ohne deren Legitimität ausreichend zu überprüfen. Erst später stellte sich heraus, dass es sich um einen umfassenden Betrugfall handelte.
Die offengelegten Daten waren umfangreich: Neben Ausweispapieren (Kopien von Pässen oder Führerscheinen) und Verifikations-Selfies wurden auch finanzielle Details preisgegeben. Dazu zählten Kontoauszüge mit IBAN, Wallet-Referenznummern, Abhebungsaufzeichnungen und die vollständige Bitcoin-Transaktionshistorie der betroffenen Nutzer. Biometrische Gesichtsdaten waren nicht enthalten.
Sicherheitsforscher ZachXBT deutet darauf hin, dass der Angriff gezielt vermögende Nutzer ins Visier nahm – eine besorgiserregende Entwicklung angesichts einer Welle sogenannter „Wrench Attacks" gegen bekannte Kryptoinvestoren. Revolut bestätigte zwar die Sicherheitsvorfälle gegenüber TechCrunch, gab aber keine Zahlen über das Ausmaß der Betroffenen preis. Das Unternehmen teilte auch nicht mit, welche Behörde impersoniert wurde.