Revolut bestätigt einen Datenleck von Kunden, verursacht durch gefälschte Regierungsanfragen

• Die britische Fintech-Firma Revolut bestätigte, dass unbefugte Dritte sensible Kundendaten erhalten haben, indem sie einen raffinierten Betrug mit gefälschten Regierungse-Mails anwandten.
• Die Übertretung führte dazu, dass Identitätsdokumente, Kontaktdaten sowie Transaktionshistorien im Zusammenhang mit Kryptowährungen für eine begrenzte Anzahl von Nutzern zugänglich wurden – vor allem für Personen mit hohem Vermögen.
• Der Vorfall ereignete sich, während das in London ansässige Unternehmen nach einer Genehmigung als US-Nationalbank und einer möglichen öffentlichen Listing strebt – eine Listing, die das Unternehmen zu einem Wert von bis zu 200 Milliarden Dollar bringen könnte.
• Revolut betonte, dass die Kernbanksysteme sowie die Kundenmittel unbeeinträchtigt bleiben. Allerdings zeigt die Sicherheitslücke signifikante Schwachstellen in den Verfahren zur Überprüfung der Compliance-Prozesse auf.

Der britische Fintech-Gigant Revolut gab am 12. September bekannt, dass er sensible Kundeninformationen verloren hatte, nachdem er gefälschte Datenanfragen erhalten hatte – diese wurden von einer E-Mail-Adresse verwendet, die als legitime Regierungsbehörde getarnt war. Die gefälschten Nachrichten waren so raffiniert, dass sie alle Standard-Sicherheitsprüfungen überwinden konnten – darunter die Protokolle SPF, DKIM und DMARC. Diese Protokolle werden normalerweise verwendet, um die Sicherheit von E-Mails zu gewährleisten.Überprüfen Sie die Identität des Absenders sowie die Integrität des Inhalts..

Laut den an die betroffenen Kunden gesendeten Benachrichtigungen und den von den Medien überprüften Informationen umfassten die veröffentlichten Daten Identitäts- und Kontaktdaten wie Geburtsdaten, Postadressen und E-Mail-Adressen sowie Telefonnummern.Vier Exemplare der IdentitätsdokumenteWie Passporte und Führerscheine. Das Unternehmen gab außerdem an, dass…Verifizierungsselfies, KontostandberichteUnd die Transaktionshistorien könnten verfälscht worden sein.

Ein Sprecher von Revolut sagte, dass das Unternehmen den Betrug erkannt hat, die betrügerische E-Mail-Adresse sofort blockiert habe und die zuständigen Regierungsbehörden, Strafverfolgungsbehörden und Regulierungsbehörden informiert habe. Das Unternehmen betonte, dass seine Systeme sowie die Kundengelder nicht beeinträchtigt wurden. Es bezeichnete den Vorfall als einen raffinierten Social-Engineering-Angriff, nicht als einen Bruch der internen Infrastruktur des Unternehmens.

Der Sicherheitsforscher ZachXBT stellte fest, dass der Vorfall offenbar auf Nutzer mit hohem Nettovermögen abzielt – eine Gruppe, die besonders anfällig für Phishing-Angriffe, SIM-Swapping-Angriffe, Erpressungen und physische Bedrohungen ist. Dieser Datenleck tritt auf, während Revolut eine mögliche öffentliche Bewertung prüft, die den Wert des FinTech-Unternehmens auf bis zu 200 Milliarden Dollar erhöhen könnte – ein deutlicher Anstieg gegenüber der privaten Bewertung von 75 Milliarden Dollar im November.

Wie konnten die gefälschten E-Mails die Sicherheitsmaßnahmen von Revolut umgehen?

Die technische Bedeutung dieser Manipulation besteht darin, dass die E-Mail-Authentifizierungsprotokolle nicht in der Lage sind, die Manipulationen zu erkennen. SPF überprüft die autorisierten Versandserver, während DKIM die Integrität des Inhalts überprüft.DMARC kümmert sich um das Umgang mit Fehlern.Die betrügerischen E-Mails überkamen diese Schutzmaßnahmen und ermöglichten es dem Compliance-Team, den Antrag zu erfüllen – in der vernünftigen Annahme, dass es sich um echte E-Mails handelte.

Der Angriffsvektor zeigt, dass die technischen E-Mail-Prüfungen die Authentizität des Domains bestätigen, aber nicht die Berechtigung des Absenders überprüfen. Sobald ein Angreifer einen Account innerhalb eines echten Domains kontrolliert hat…Diese technischen Schutzmaßnahmen funktionieren nicht.Der Vorfall unterstreicht die Notwendigkeit, dass Organisationen, die sensiblen Kundendaten verarbeiten, die Anfragen bezüglich riskanter Informationen selbstständig über Out-of-Band-Kanäle überprüfen müssen – anstatt sich ausschließlich auf Domainauthentifizierung zu verlassen.

Die Compliance-Abteilung hat diese Anfragen vermutlich als legal angesehen – aufgrund des authentifizierten Domains. Die Dokumente wurden gemäß den Protokollen für Notfallanfragen übergeben. Das zeigt ein kritisches operatives Risiko bei der Handhabung von Kundendaten: Prozedurale Angriffe können erfolgreich sein, selbst wenn die Kernsysteme sicher sind.

Welche Daten wurden kompromittiert und welche Risiken bestehen?

Zu den aufgedeckten Datenkategorien gehören Passwörter, Führerscheine, Selfies zur Identitätsprüfung, Namen, Geburtsdaten, Berufe, Hausadressen, E-Mail-Adressen, Telefonnummern, IBANs, Kontostände, Abhebungsprotokolle sowie die gesamte Bitcoin-Transaktionshistorie. Wichtig ist, dass keine Zugangsdaten, Passwörter oder biometrische Daten verloren gegangen sind.

Die Offenlegung der Transaktionshistorie von Bitcoin ermöglicht die Clusteranalyse – also die Verknüpfung öffentlicher Blockchain-Adressen mit bestimmten Identitäten, Wohnadressen und Vermögensniveaus. Dadurch entstehen konkrete physische Sicherheitsrisiken, wie zum Beispiel mögliche Erpressungen oder Entführungen – ähnlich wie in vergangenen Fällen in Europa.

Für Kunden von Revolut, die in die Falle gelaufen sind, kann die Kombination aus Identitätsdokumenten, Kontaktdaten, Kontoinformationen und Transaktionshistorie den Angreifern dabei helfen, überzeugende Social-Engineering-Tricks zu entwickeln. Die Betrüger können sich als Mitarbeiter von Revolut, Strafverfolgungsbehörden, Zahlungsanbieter oder Steuerbehörden ausgeben und Nutzung der persönlichen Informationen verwenden, um Nachrichten als legitime zu erscheinen.

Wie wirkt sich das auf Revoluts strategischen Ziele aus?

Dieser Riss in den Finanzen fällt mit bedeutenden strategischen Entwicklungen für die in London ansässige Fintech-Company zusammen. Die Company verfügt weltweit über mehr als 80 Millionen Kunden und operiert in mehr als 30 Ländern. Revolut hat kürzlich Banklizenzen in Frankreich und dem Vereinigten Königreich erhalten sowie eine bedingte Genehmigung vom U.S. Office of the Comptroller of the Currency für die Gründung einer Nationalbank erhalten. Die Bank soll voraussichtlich im ersten Halbjahr 2027 starten.

Es wird berichtet, dass das Unternehmen überlegt, an die Börse zu gehen – dabei könnte der Wert des Unternehmens bis zu 200 Milliarden Dollar betragen. Das ist ein erheblicher Anstieg gegenüber dem privaten Wert von 75 Milliarden Dollar im November. Dieses Vorhaben stellt jedoch auch Probleme bezüglich der Reputation dar, da Revolut auf eine Ausweitung in Europa hinarbeitet und Ambitionen hat, an die Börse zu gehen.

Obwohl die Kundengelder nicht beeinträchtigt wurden, sind die langfristigen Reputation- und Haftungsrisiken erheblich. Es wird den Benutzern empfohlen, die Kommunikation direkt über die App zu überprüfen, anstatt über E-Mail-Links. Zudem sollten sie unter Artikel 15 des GDPR Anfragen zur Sichtbarkeit von Daten stellen und versuchen, ihre Vermögenswerte von den Identitätsdaten zu trennen – indem sie das Übermaß an Vermögen in selbstverwaltete Lösungen mit Passphrase-Schutzmaßnahmen umleiten.

Der Fall zeigt, wie vertrauenswürdige E-Mail-Domains missbraucht werden können, wenn ein Angreifer Zugang zur Mail-Infrastruktur einer legitimen Organisation erhält oder sie falsch verwendet. Auch ordnungsgemäß authentifizierte E-Mails können bösartig sein, wenn die Account des Absenders nicht autorisiert ist. Dieser Vorfall markiert einen Wandel von den bisherigen Sicherheitsproblemen – wie zum Beispiel dem Angriff im Jahr 2022, bei dem ein Mitarbeiter durch Social Engineering getäuscht wurde – hin zu einem Problem, das sich auf den eigenen Compliance-Prozess bezieht.