Erpressungsseite des Revolut-Datenlecks von Forschern enttarnt

Die Folgen des Revolut-Datenlecks nahmen eine neue Wendung, nachdem das Threat-Intelligence-Unternehmen KELA Forschungsergebnisse veröffentlichte, die die Erpressungsseite zurückverfolgen, mit der das Fintech-Unternehmen unter Druck gesetzt werden sollte, die Angreifer zu bezahlen. Laut den Erkenntnissen von KELA wurde die Seite auf kostenloser öffentlicher Infrastruktur gehostet und in nur 6,5 Stunden zusammengestellt. Noch bemerkenswerter: Dateien, die die Angreifer für gelöscht hielten, waren noch über die öffentliche Commit-Historie der Seite wiederherstellbar – ein Detail, das Verteidigern und Forschern einen seltenen Einblick in die Mechanismen einer modernen Erpressungskampagne gewährt.

Diese Entdeckung ist wichtig, weil sie zeigt, dass die Kriminellen hinter dem Revolut-Vorfall keine ausgefeilte, gehärtete Operation aufgebaut hatten. Stattdessen stützten sie sich auf schnelle, kostenlose Tools und hinterließen dabei eine Spur, der Forscher folgen konnten. Für einen Vorfall, der bereits wegen der Frage untersucht wurde, wie die Angreifer überhaupt an Kundendaten gelangten, bietet dieses zweite Kapitel einen Einblick darein, wie improvisiert und exponiert Erpressungsinfrastruktur sein kann.

Wie die Erpressungsseite erstellt und zurückverfolgt wurde

Die Analyse von KELA ergab, dass die Erpressungsseite nicht auf eigenen Servern oder spezialisierter Dark-Web-Infrastruktur lief. Sie lief auf einem kostenlosen, öffentlich zugänglichen Hosting-Dienst, wie ihn jeder in Minuten einrichten kann. Die Geschwindigkeit der Bereitstellung – nur 6,5 Stunden von Anfang bis Ende – deutet darauf hin, dass die Angreifer es priorisierten, Revolut schnell unter Druck zu setzen, statt ihre Spuren sorgfältig zu verwischen.

Diese Eile schuf eine Lücke. Da die Seite auf eine öffentliche Commit-Historie angewiesen war (die Aufzeichnung der Änderungen am zugrunde liegenden Code oder Inhalt der Seite), konnten Forscher frühere Versionen der Seite einsehen, die die Angreifer zu entfernen versucht hatten. Dateien, die von der Live-Seite gelöscht wurden, waren nicht wirklich verschwunden; sie blieben in den Historienprotokollen sichtbar und gaben KELA Einblick darein, wie sich die Erpressungsseite entwickelte und welche Inhalte die Angreifer ursprünglich eingefügt hatten, bevor sie sie bereinigten.

Diese Art von Betriebssicherheitsfehler ist im Cyberkriminalitätsbereich nicht ungewöhnlich. Infrastruktur schnell und kostengünstig aufzubauen, hat oft Priorität für Erpressergruppen, die zuschlagen wollen, solange ein Datenleck noch frisch in den Nachrichten ist, doch diese Geschwindigkeit geht häufig mit zurückbleibenden digitalen Fingerabdrücken einher.

Die Verbindung der Erpressungsseite zum ursprünglichen Datenleck

Die Erpressungsseite entstand nicht aus dem Nichts. Sie folgte auf die Offenlegung von Revolut, dass sensible Kundendaten offengelegt worden waren, nachdem das Unternehmen durch eine gefälschte Regierungsanfrage getäuscht worden war, was dazu führte, dass Pass- und persönliche Informationen an eine unbefugte dritte Partei weitergegeben wurden. Dieser frühere Vorfall bereitete den Boden für den Erpressungsversuch: Sobald die Angreifer Kundendaten in der Hand hatten, machten sie sich daran, eine Druckseite zu erstellen, mit der sie eine Zahlung von Revolut erzwingen wollten.

Diese Abfolge – ein Social-Engineering-Trick, gefolgt von Datenoffenlegung und dann Erpressung – spiegelt ein häufiges Muster in finanziell motivierter Cyberkriminalität wider. Angreifer benötigen selten hochgradig fortschrittliche Tools, um erfolgreich zu sein. Eine überzeugende gefälschte Anfrage reichte aus, um sensible Daten freizugeben, und ein paar Stunden auf kostenlosem Hosting genügten, um danach eine öffentliche Druckkampagne zu starten.

Was das für Sie bedeutet

Wenn Sie Revolut-Kunde sind, geht es beim praktischen Risiko dieser spezifischen Erpressungsseite weniger um die Hosting-Details als vielmehr darum, welche Daten darin enthalten gewesen sein könnten. Erpressungsseiten im Zusammenhang mit Datenlecks wie diesem verweisen oft auf gestohlene Informationen, einschließlich Passnummern und Kontodetails, oder zeigen Vorschauen davon als Druckmittel. Die Tatsache, dass Forscher gelöschte Dateien aus der Historie der Seite wiederherstellen konnten, bedeutet auch, dass Inhalte, die die Angreifer zu verbergen versuchten – möglicherweise einschließlich Proben der geleakten Daten – noch dokumentiert und von Sicherheitsforschern analysiert werden könnten.

Für alltägliche Nutzer unterstreicht dies eine breitere Lehre über das Revolut-Datenleck: Die ursprüngliche Kompromittierung geschah nicht durch einen technischen Hack der Systeme von Revolut, sondern durch Täuschung. Das bedeutet, dass die üblichen Ratschläge – Ihre Konten zu überwachen, auf Phishing-Versuche mit Bezug zu diesem Datenleck zu achten und bei unaufgeforderten Anfragen nach persönlichen Informationen vorsichtig zu sein – gerade jetzt besonders relevant sind. Angreifer, die sich einmal erfolgreich als Behörden ausgegeben haben, könnten ähnliche Taktiken erneut versuchen, sei es gegen Revolut oder direkt gegen dessen Kunden.

Handlungsempfehlungen

Wenn Sie Revolut nutzen oder von diesem Datenleck betroffen sind, ziehen Sie die folgenden Schritte in Betracht:

  • Beobachten Sie Ihr Revolut-Konto und verknüpfte Bankkonten in den kommenden Wochen genau auf ungewöhnliche Aktivitäten.
  • Seien Sie skeptisch gegenüber jeglicher Kommunikation, insbesondere dringlich klingenden Nachrichten, die vorgeben, von Revolut, Regierungsbehörden oder Strafverfolgungsbehörden zu stammen und sich auf diesen Vorfall beziehen.
  • Falls Ihr Reisepass oder Ihre Identitätsdokumente Teil der bei der früheren Offenlegung exponierten Daten waren, ziehen Sie eine Überwachung auf Identitätsdiebstahl in Betracht und seien Sie vorsichtig beim Teilen von Kopien von Ausweisdokumenten, es sei denn, es ist absolut notwendig.
  • Verfolgen Sie Updates direkt von Revolut, statt sich auf Links oder Dateien zu verlassen, die im Zusammenhang mit der Erpressungsseite verbreitet werden, da Forscher gezeigt haben, dass Inhalte auf diesen Seiten manipuliert werden und selbst nach dem Löschen wieder auftauchen können.

Das Revolut-Datenleck und seine Erpressungsfolgen zeigen, dass selbst Angreifer mit funktionierenden kriminellen Operationen grundlegende Fehler machen können, die Forscher ausnutzen können. Für Kunden bleibt Wachsamkeit und Vorsicht die beste Verteidigung, während sich das vollständigere Bild dieses Vorfalls weiter entfaltet.