Wat er gebeurde bij het Revolut-dataplek

Revolut, de in het VK gevestigde fintech-app die door miljoenen mensen wordt gebruikt voor dagelijks bankieren, valuta-uitwisseling en cryptocurrency-handel, heeft een dataplek bevestigd waarbij enkele van de meest gevoelige gegevens die een financieel platform kan bezitten, zijn blootgesteld. Volgens berichtgeving over het incident omvatten de blootgestelde gegevens KYC (Know Your Customer)-selfies, paspoortscans, IBAN's en Bitcoin-transactiegeschiedenis van getroffen klanten.

Deze combinatie van gegevens is opmerkelijk omdat zij veel verder gaat dan de inloggegevens of gedeeltelijke kaartnummers die doorgaans met fintech-dataplekken worden geassocieerd. KYC-verificatiefoto's en scans van overheidsidentiteitsbewijzen worden specifiek verzameld om de identiteit van een klant te bewijzen wanneer deze zich aanmeldt voor financiële diensten. Dit betekent dat deze gegevens moeilijk, zo niet onmogelijk te wijzigen zijn zodra ze zijn blootgesteld. Anders dan een wachtwoord kunt u uw gezicht of paspoortnummer niet eenvoudigweg opnieuw instellen.

Waarom de blootgestelde gegevens zo gevoelig zijn

Elk stuk gegevens dat bij dit dataplek is blootgesteld, dient een ander doel voor criminelen, en samen vormen ze een bijna compleet identiteitspakket.

Paspoortscans en selfies kunnen worden gebruikt om identiteitsverificatiecontroles op andere platforms te doorstaan, waardoor aanvallers mogelijk nieuwe accounts kunnen openen, krediet kunnen aanvragen of KYC-controles bij andere financiële instellingen kunnen omzeilen terwijl ze zich voordoen als het slachtoffer. IBAN's (International Bank Account Numbers) onthullen bankgegevens die kunnen worden gecombineerd met social engineering-aanvallen, zoals een slachtoffer ervan overtuigen dat hij met zijn echte bank spreekt. Bitcoin-transactiegeschiedenis voegt een extra risicolaag toe: het kan onthullen hoeveel cryptocurrency iemand bezit, wanneer hij het heeft verplaatst en mogelijk welke wallets hij beheert, waardoor klanten met een hoog saldo aantrekkelijke doelwitten worden voor gerichte phishing- of afpersingspogingen.

Wanneer dit soort gegevens circuleert op criminele forums, blijft het zelden geïsoleerd. Gestolen identiteitsdocumenten en financiële gegevens worden vaak gebundeld en doorverkocht, en vervolgens gebruikt om vervolgaanvallen aan te wakkeren, zoals accountovername, synthetische identiteitsfraude of zeer overtuigende phishingcampagnes. De FBI heeft eerder gewaarschuwd voor criminele infrastructuur die specifiek is gebouwd om dit soort misbruik te ondersteunen; een flash-advisory beschreef hoe ransomwaregroepen vertrouwden op een criminele VPN-dienst om hun activiteiten te maskeren tijdens het uitvoeren van intrusies en het misbruiken van gestolen inloggegevens. Dataplekken zoals deze bij Revolut maken deel uit van hetzelfde ecosysteem dat die criminele infrastructuur in stand houdt.

Wat dit voor u betekent

Als u een Revolut-account hebt, vooral een waarbij u identiteitsverificatie hebt voltooid door een paspoort of selfie in te dienen, moet u dit dataplek behandelen als een ernstig persoonlijk beveiligingsincident, niet als een routinekennisgeving over een datalek.

Het praktische risico beperkt zich niet tot uw Revolut-account zelf. Omdat paspoortscans en selfies kunnen worden hergebruikt om zich elders als u voor te doen, creëert de blootstelling downstreamrisico voor elke dienst die op vergelijkbare identiteitsverificatie vertrouwt. In combinatie met IBAN- en cryptocurrency-transactiegegevens hebben aanvallers voldoende materiaal om zeer gepersonaliseerde phishingberichten op te stellen die verwijzen naar echte accountgegevens, waardoor oplichting veel overtuigender wordt dan generieke phishingpogingen.

Dit is ook een herinnering dat financiële dataplekken steeds meer overlappen met bredere cybercrimetrends. Andere recente incidenten, waaronder een ransomware-aanval waarbij Stadler Rail een losgeld van meerdere miljoenen dollars weigerde, tonen aan dat gestolen gegevens, zodra ze zijn geëxfiltreerd, vaak een drukmiddel worden ongeacht de sector waaruit ze afkomstig zijn. Fintech-platforms die identiteitsdocumenten en crypto-registraties bewaren, zijn simpelweg doelwitten met een hoge waarde in hetzelfde landschap.

Concrete aandachtspunten

Als u Revolut of een vergelijkbaar fintech-platform gebruikt, overweeg dan de volgende stappen:

  • Wijzig uw Revolut-wachtwoord onmiddellijk en schakel tweefactorauthenticatie in als u dat nog niet hebt gedaan.
  • Houd uw bank- en cryptocurrency-accounts nauwlettend in de gaten voor onbekende inlogpogingen of transacties.
  • Wees sceptisch over elk bericht dat verwijst naar uw Revolut-account, IBAN of crypto-bezittingen, zelfs als het afkomstig lijkt te zijn van Revolut-ondersteuning, aangezien oplichters gelekte gegevens kunnen gebruiken om legitiem te lijken.
  • Overweeg een fraudewaarschuwing of kredietblokkering bij grote kredietbureaus als u zich zorgen maakt over identiteitsdiefstal met behulp van uw paspoortgegevens.
  • Beveilig uw thuisnetwerk tegen onderschepping. Aanvallers hebben eerder gecompromitteerde routers misbruikt om DNS-instellingen te kapen, wat slachtoffers kan omleiden naar nep-bank- of verificatiepagina's die zijn ontworpen om nog meer gegevens te verzamelen.

Het Revolut-dataplek is een duidelijke herinnering dat identiteitsdocumenten en financiële geschiedenis, zodra ze zijn gedigitaliseerd en opgeslagen, risico's met zich meebrengen die elke afzonderlijke wachtwoordreset overstijgen. Alert blijven op ongebruikelijke accountactiviteit en phishingpogingen in de komende weken is de meest effectieve manier om de schade te beperken.