Revolut hat eine Datenpanne bestätigt, bei der weder Server gehackt, noch Passwörter gestohlen oder Software-Schwachstellen ausgenutzt wurden. Stattdessen erklärt der Fintech-Riese, dass Betrüger einfach nach den Daten gefragt und sich als jemand mit der rechtlichen Befugnis ausgegeben haben, sie anzufordern. Das Unternehmen hat betroffene Kunden benachrichtigt und die zuständige Regierungsbehörde, Strafverfolgungsbehörden und Finanzaufsichtsbehörden informiert – ein weiteres Kapitel in einem Vorfall, den vpn.social verfolgt, während neue Details ans Licht kommen.

Was passiert ist: Gefälschte Anfragen, echte Daten

Laut Revoluts eigener Beschreibung des Vorfalls ging die Datenpanne auf das zurück, was das Unternehmen einen hochentwickelten Identitätstäuschungsbetrug nannte. Ein unbefugter Dritter schaffte es, sich als legitime Regierungsbehörde auszugeben, und nutzte diese falsche Identität, um Datenanfragen an Revolut zu stellen. Da solche Anfragen typischerweise von Strafverfolgungs- oder Aufsichtsbehörden stammen, die legitime Untersuchungen durchführen, wird von Finanzinstituten im Allgemeinen erwartet, dass sie schnell nachkommen – oft ohne die umfangreiche wechselseitige Verifizierung, die bei anderen Arten des Datenzugriffs üblich ist.

Genau diese Erwartung scheinen die Betrüger ausgenutzt zu haben. Anstatt Firewalls oder Verschlüsselung zu durchbrechen, nutzten sie das Vertrauen aus, das in den Compliance-Prozess selbst eingebaut ist. Revolut hat seitdem die betroffenen Kunden direkt benachrichtigt und die tatsächliche Regierungsbehörde, deren Identität missbraucht wurde, sowie Strafverfolgungsbehörden und Finanzaufsichtsbehörden, die die Geschäftstätigkeit des Unternehmens überwachen, eingebunden.

Dies ist nicht das erste Mal, dass Details dieses Vorfalls aufgetaucht sind. Eine frühere, von vpn.social behandelte Berichterstattung beschrieb, wie Pässe über eine gefälschte Anfrage geleakt wurden, die mit demselben Schema zusammenhing, und ein Folgeartikel detaillierte, wie die Datenpanne auch kryptowährungsbezogene Daten offenlegte – zusammen mit Identitätsdokumenten. Leser, die die vollständigere Zeitleiste wünschen, sollten beide Beiträge zusammen mit dieser Bestätigung von Revolut lesen.

Welche Kundendaten offengelegt wurden

Revolut hat keine vollständige Aufstellung aller entwendeten Datenpunkte veröffentlicht, doch frühere Berichte über diesen Vorfall deuteten darauf hin, dass Identitätsdokumente, einschließlich Passinformationen, zu den offengelegten Datensätzen gehörten. Die Art der betrügerischen Anfragen legt nahe, dass die Angreifer genau auf die Art von persönlichen und finanziellen Identifikatoren aus waren, die Regierungsbehörden und Strafverfolgungsbehörden während einer Untersuchung legitimerweise benötigen würden – was bedeutet, dass die Daten wahrscheinlich Informationen enthalten, die direkt mit der Identität und den Kontobewegungen eines Kunden verknüpft sind.

Revolut hat erklärt, dass es die Kunden, deren Daten betroffen waren, direkt benachrichtigt, was bedeutet, dass App-Nutzer auf offizielle Kommunikation des Unternehmens achten sollten, anstatt anzunehmen, nicht betroffen zu sein, nur weil sie noch nichts gehört haben.

Warum Social Engineering starke Sicherheit schlägt

Das Bemerkenswerte an diesem Vorfall ist, was er nicht ist. Es ist keine Geschichte über einen falsch konfigurierten Server, eine ungepatchte Schwachstelle oder einen Brute-Force-Angriff auf verschlüsselte Systeme. Revolut investiert, wie die meisten großen Fintech-Plattformen, stark in technische Sicherheitskontrollen. Diese Kontrollen sind weitgehend irrelevant, wenn ein Angreifer einen menschlichen Prozess – statt eine Maschine – dazu bringt, die Daten einfach herauszugeben.

Gefälschte oder gespoofte Regierungs- und Strafverfolgungsanfragen sind eine bekannte Technik in der gesamten Tech-Branche, gerade weil sie auf die Verifizierungslücke zwischen „das sieht offiziell aus" und „das ist bestätigt offiziell" abzielen. Unternehmen, die regelmäßig echte rechtliche Anfragen erhalten, können sich daran gewöhnen, schnell zu handeln – was für echte Untersuchungen effizient ist, aber eine Öffnung für Identitätstäuscher schafft, die die Formalitäten und Terminologie gut genug verstehen, um überzeugend zu wirken.

Diese Unterscheidung ist wichtig dafür, wie Kunden das Risiko künftig betrachten sollten. Eine Datenpanne, die durch einen technischen Fehler verursacht wird, wird oft einmalig behoben, woraufhin die spezifische Schwachstelle geschlossen ist. Eine Datenpanne, die durch erfolgreiche Identitätstäuschung verursacht wird, offenbart eine Prozessschwäche, die theoretisch erneut versucht werden könnte – ob gegen Revolut oder eine andere Institution – bis die Verifizierungsverfahren verschärft werden.

Was das für Sie bedeutet

Wenn Sie Revolut-Kunde sind, ist das praktische Risiko hier die Offenlegung Ihrer Identität, nicht unbedingt die direkte Übernahme Ihres Kontos. Dokumente wie Passscans und Identitätsdaten sind für Betrüger wertvoll, weil sie genutzt werden können, um neue Konten zu eröffnen, Kredite zu beantragen oder Identitätsprüfungen bei anderen Institutionen zu umgehen – manchmal lange nachdem die ursprüngliche Datenpanne aus den Schlagzeilen verschwunden ist. Deshalb sollte diese Art der Offenlegung als fortlaufendes Risiko behandelt werden und nicht als einmaliges Ereignis, auf das man einmal reagiert und das man dann vergisst.

Revolut hat bereits Strafverfolgungsbehörden und Aufsichtsbehörden eingeschaltet, sodass eine institutionelle Reaktion im Gange ist. Doch einzelne Kunden tragen weiterhin die Last, ihre eigene Exposition zu überwachen, da keine Unternehmensbenachrichtigung die Tatsache vollständig rückgängig machen kann, dass sensible Dokumente von einer unbefugten Partei eingesehen wurden.

Konkrete Schritte, die Sie jetzt unternehmen sollten

  • Achten Sie auf offizielle Benachrichtigungs-E-Mails von Revolut und überprüfen Sie deren Echtheit über die App, anstatt auf Links in unaufgeforderten Nachrichten zu klicken.
  • Überwachen Sie Ihren Kreditbericht und alle Konten, die mit Ihren Identitätsdokumenten verknüpft sind, auf neue Aktivitäten, die Sie nicht erkennen.
  • Aktivieren Sie zusätzliche Verifizierungsschritte für Ihr Revolut-Konto, wie Zwei-Faktor-Authentifizierung, falls noch nicht geschehen.
  • Seien Sie skeptisch gegenüber jeglicher Folgekommunikation, die vorgibt, von Revolut, einer Regierungsbehörde oder Strafverfolgungsbehörden zu stammen und sich auf diese Datenpanne bezieht, da Betrüger Nachrichten über Datenpannen oft für sekundäre Phishing-Versuche ausnutzen.
  • Lesen Sie die frühere vpn.social-Berichterstattung über die Offenlegung von Pass- und Bitcoin-Daten für die vollständigere Zeitleiste, bevor Sie entscheiden, welche zusätzlichen Schutzmaßnahmen für Ihre Situation sinnvoll sind.

Die Revolut-Datenpanne durch gefälschte Regierungsanfragen ist eine Erinnerung daran, dass selbst gut gesicherte Finanzplattformen anfällig bleiben, wenn menschliches Vertrauen ausgenutzt wird, statt Code geknackt zu werden. Wachsam gegenüber offizieller Kommunikation zu bleiben und Ihre persönlichen Daten in den kommenden Wochen genau im Auge zu behalten, ist der effektivste Weg, die Folgen zu begrenzen.