Revolut unter Druck: Was über den Datendiebstahl bekannt ist - und was nicht

Kriminelle erbeuteten bei Revolut die Daten von rund 680 Kunden. Dahinter steckt aber kein Hack auf die IT-Systeme des Fintechs, sondern Social Engineering.

Finanzdienstleister sind lohnende Opfer für Kriminelle, die es auf sensible persönliche Daten abgesehen haben. Wegen der Geldwäschevorschriften sammeln sie genau das, was Betrüger brauchen: Ausweiskopien, Adressen, Kontodaten und vollständige Transaktionshistorien.

Revolut ist Opfer eines Datenklaus geworden, bei dem Kriminelle offenbar die Anfrage einer Regierungsstelle vortäuschten , um gezielt an die Daten bestimmter Kunden zu kommen. Außerdem wurden nach dem Diebstahl Lösegeldforderungen an das Fintech gestellt. Was bislang über den Datendiebstahl bekannt ist.

Bei dem Datenklau handelt es sich nicht um einen Hack der Systeme von Revolut, sondern um eine gezielte Abfrage von Daten durch eine vorgetäuschte Regierungsstelle. Daher ist auch keine große Zahl von Revolut-Kunden betroffen, sondern nur etwa 680 Personen in verschiedenen Ländern, die bereits kontaktiert und über den Vorfall informiert worden sind.

Das Fintech selbst spricht von einem „ausgeklügelten externen Betrugsversuch“, bei dem ein unbefugter Dritter eine legitime E-Mail-Domain einer Regierungsbehörde nutzte, um betrügerische Auskunftsanfragen zu stellen. Nach der Entdeckung hat Revolut die Adresse gesperrt und die zuständigen Behörden eingeschaltet.

Zu den herausgegebenen Daten gehörten Identitäts- und Kontaktdaten wie etwa Geburtsdatum, Post- und E-Mail-Adresse und Telefonnummern sowie Transaktionsdaten einschließlich Bitcoin-Transaktionen. Außerdem wurden Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen weitergegeben.

Zunächst war nicht bekannt, als welche Behörde sich die Kriminellen ausgaben. Revolut nannte weder Namen noch Land unter Verweis auf die laufenden polizeilichen Ermittlungen. Jetzt ist aber klar: Der Vorfall hat sich in Italien ereignet. Die Hacker sollen sich als Strafverfolgungsbehörde ausgegeben und über Monate hinweg per E-Mail Daten von Kunden angefordert haben.

Die Polizia Postale, die für Cyberkriminalität zuständige Polizeieinheit, untersucht laut einem Bericht der italienischen Nachrichtenagentur Ansa den Vorfall wegen des mutmaßlichen unbefugten Zugriffs auf ein Computersystem und wegen Computerbetrugs.

Noch ist nicht geklärt, ob ein Rechner der Präfektur oder des italienischen Innenministeriums kompromittiert wurde. Die Staatsanwaltschaft in Reggio Calabria hat ebenfalls Ermittlungen aufgenommen. Sie prüft auch, ob das institutionelle E-Mail-Konto tatsächlich kompromittiert oder lediglich geklont wurde. Italiens Datenschutzbehörde geht zudem der Frage nach, ob weitere Finanzdienstleister betroffen sind und hat Banken aufgefordert, ihre Sicherheitssysteme zu überprüfen.

Revolut will die zuständigen Behörden bei ihren Ermittlungen entsprechend unterstützen und weist darauf hin, dass die eigenen Systeme und Datenbanken nicht kompromittiert wurden und auch keine Kundengelder abgeflossen sind.

Das kompromittierte E-Mail-Konto war Berichten zufolge Teil des italienischen Systems Posta Elettronica Certificata (PEC).