Revolut-Datenleck: Ein Betrug, der kein Hacking brauchte

Ein neues Revolut-Datenleck wirft unbequeme Fragen darüber auf, wie leicht sensible Finanzdaten nach draußen gelangen können – keine Malware, keine ausgenutzte Software-Schwachstelle und kein per Brute-Force geknacktes Passwort nötig. Laut einem Bericht, der von Help Net Security zusammengefasst wurde, übergab das Fintech-Unternehmen die Pässe von Kunden, Identitätsverifizierungs-Selfies und Bitcoin-Transaktionsverläufe an einen Betrüger, der einfach danach fragte – unter Verwendung einer E-Mail-Adresse auf einer echten Regierungsdomain.

Der Vorfall verdeutlicht eine wachsende Realität in der Cybersicherheit im Finanzbereich: Angreifer müssen nicht immer eindringen, wenn sie überzeugend vorgeben können, dazuzugehören. Für Revolut-Kunden und für jeden, der eine Fintech- oder Krypto-Plattform nutzt, die Identitätsdokumente erfasst, ist dieses Leck eine Erinnerung daran, dass das schwächste Glied oft eine menschliche Entscheidung ist, nicht eine Firewall.

Wie der Betrug funktionierte

Anders als bei vielen Brüchen, die die Schlagzeilen beherrschen, ging es hier nicht um gestohlene Zugangsdaten, die in einem Dark-Web-Forum verkauft wurden, oder um eine Schwachstelle, die monatelang still ausgenutzt wurde. Stattdessen gab sich der Angreifer als Regierungsbehörde aus, indem er Anfragen von einer Adresse sandte, die wie eine legitime Regierungs-E-Mail-Domain aussah. Revolut, in der Annahme, die Anfrage sei authentisch, reagierte, indem das Unternehmen Kundendatensätze offenlegte.

Zu den Berichten zufolge übergebenen Daten gehörten höchst sensible Materialien: von der Regierung ausgestellte Identitätsdokumente, Selfie-Verifizierungsbilder, die typischerweise für Know-your-Customer-(KYC)-Prüfungen verwendet werden, und Aufzeichnungen über die Bitcoin-Transaktionsaktivität der Kunden. Diese Kombination aus Identitätsdokumenten und Finanztransaktionsverlauf ist für Betrüger besonders wertvoll, da sie genutzt werden kann, um Opfer zu imitieren, Identitätsprüfungen auf anderen Plattformen zu umgehen oder Krypto-Inhaber direkt ins Visier zu nehmen.

Dies ist nicht das erste Mal, dass Revolut mit einer unbefugten Datenoffenlegung zu tun hat. Das Unternehmen hat zuvor ein Leck offengelegt, von dem Zehntausende Kunden betroffen waren – eine Erinnerung daran, dass Fintech-Plattformen, die große Mengen sensibler persönlicher und finanzieller Daten verarbeiten, beständige Ziele bleiben, sei es durch technische Exploits oder Social Engineering.

Warum Krypto-Daten dieses Leck schlimmer machen

Was diesen Vorfall von einem typischen Datenleck unterscheidet, ist die Einbeziehung von Bitcoin-Transaktionsverläufen zusammen mit Identitätsdokumenten. Diese Kombination ist besonders gefährlich, weil sie Kriminellen sowohl das „Wer" als auch das „Was" liefert: eine verifizierte Identität plus eine Aufzeichnung von Kryptoaktivitäten, die für gezieltes Phishing, Erpressung oder Versuche der Kontoübernahme auf anderen Plattformen genutzt werden kann.

Dies ist ein Muster, das auch anderswo im Krypto-Ökosystem zu beobachten ist. Beim SafePal-Datenleck wurden die Informationen von Zehntausenden Kunden auf eine Weise offengelegt, die Inhaber von Krypto-Wallets direkt gefährdete. Ähnlich zeigte das französische Steuerleck, das Krypto-Inhaber bedrohte, wie Finanz- und Identitätsdaten, einmal kombiniert, zu einem Fahrplan für Angreifer werden, die digitale Vermögenswerte abziehen wollen. Wenn Identitätsverifizierungsdokumente zusammen mit Transaktionsaufzeichnungen offengelegt werden, sind die Opfer Risiken ausgesetzt, die weit über eine einfache Phishing-E-Mail hinausgehen.

Was das für Sie bedeutet

Wenn Sie Revolut-Kunde sind oder Nutzer einer Fintech-Plattform, die Identitätsdokumente zur Verifizierung erfasst, ist dieses Leck ein guter Moment, um Ihre Exposition neu zu bewerten. Sie können möglicherweise nicht kontrollieren, wie ein Unternehmen auf eine betrügerische Regierungsanfrage reagiert, aber Sie können kontrollieren, wie schnell Sie reagieren, wenn Ihre Daten in einen Vorfall wie diesen verwickelt werden.

Prüfen Sie zunächst, ob Revolut Sie direkt über dieses Leck informiert hat. Unternehmen sind in der Regel verpflichtet, betroffene Kunden zu benachrichtigen, wenn Identitätsdokumente oder Finanzdaten offengelegt werden. Wenn Sie eine solche Benachrichtigung erhalten, nehmen Sie sie ernst, auch wenn das Leck keinen technischen Hack im traditionellen Sinne beinhaltete. Offengelegte Pässe und Selfies können für Identitätsbetrug verwendet werden, unabhängig davon, wie sie erlangt wurden.

Seien Sie wachsam gegenüber ungewöhnlichen Anmeldeversuchen, unerwarteten E-Mails zum Zurücksetzen von Passwörtern oder Kontoüberprüfungsanfragen, die persönliche Details erwähnen, von denen Sie erwarten würden, dass nur Revolut sie hat. Betrüger, die Identitätsdokumente und Transaktionsverläufe erlangen, nutzen diese oft, um Folge-Phishing-Versuche legitimer erscheinen zu lassen. Das Ausmaß dieser Art von Exposition ist nicht beispiellos; Vorfälle wie das BlaBlaCar-Leck, das 140 Millionen Nutzerdatensätze betrifft, zeigen, wie Angreifer zunehmend auf Daten aus mehreren Quellen setzen, um überzeugende, gezielte Betrugsversuche zu erstellen.

Handlungsempfehlungen

Wenn Sie Revolut oder einen ähnlichen Fintech-Dienst nutzen, erwägen Sie diese Schritte:

  • Achten Sie auf offizielle Kommunikation von Revolut, die bestätigt, ob Ihr Konto betroffen war, und vermeiden Sie es, Links in unaufgeforderten E-Mails anzuklicken, die vorgeben, vom Unternehmen zu stammen.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für Ihr Konto, falls noch nicht geschehen, da offengelegte Identitätsdokumente genutzt werden können, um Kontowiederherstellungen anderswo zu versuchen.
  • Überwachen Sie Ihre Krypto-Wallets und verknüpften Konten auf ungewöhnliche Aktivitäten, insbesondere wenn Ihr Bitcoin-Transaktionsverlauf Teil der offengelegten Daten war.
  • Erwägen Sie, einen Betrugsalarm oder eine Kennzeichnung zur Kreditüberwachung einzurichten, wenn Ihr von der Regierung ausgestellter Ausweis unter den kompromittierten Dokumenten war.

Das Revolut-Datenleck unterstreicht eine einfache, aber wichtige Wahrheit: Starke technische Abwehrmaßnahmen können durch eine einzige überzeugende E-Mail untergraben werden. Während weitere Details ans Licht kommen, bleibt es der beste Weg, den Schaden durch Vorfälle wie diesen zu begrenzen, informiert zu bleiben und bei etwaigen Leck-Benachrichtigungen schnell zu handeln.

FAQ: Q1: Welche Kundendaten wurden beim Revolut-Datenleck offengelegt? A1: Zu den Berichten zufolge übergebenen Daten gehörten von der Regierung ausgestellte Identitätsdokumente, Selfie-Verifizierungsbilder, die für KYC-Prüfungen verwendet werden, und Aufzeichnungen über die Bitcoin-Transaktionsaktivität der Kunden. Q2: Wie brachte der Betrüger Revolut dazu, Kundendatensätze herauszugeben? A2: Der Angreifer gab sich als Regierungsbehörde aus, indem er Anfragen von einer Adresse sandte, die wie eine legitime Regierungs-E-Mail-Domain aussah, und Revolut legte Kundendatensätze offen, weil es die Anfrage für authentisch hielt. Q3: Beinhaltete das Leck Hacking, Malware oder gestohlene Passwörter? A3: Nein, der Artikel besagt, dass der Betrug keine Malware, keine ausgenutzte Software-Schwachstelle und kein per Brute-Force geknacktes Passwort erforderte; der Betrüger fragte einfach nach den Daten. Q4: Warum ist die Offenlegung von Bitcoin-Transaktionsverläufen besonders gefährlich? A4: Sie gibt Kriminellen sowohl eine verifizierte Identität als auch eine Aufzeichnung von Kryptoaktivitäten, die für gezieltes Phishing, Erpressung oder Versuche der Kontoübernahme auf anderen Plattformen genutzt werden können. Q5: Hat Revolut bereits zuvor eine unbefugte Datenoffenlegung erlebt? A5: Ja, der Artikel besagt, dass Revolut zuvor ein Leck offengelegt hat, von dem Zehntausende Kunden betroffen waren.