Revolut reichte Passdaten an Betrüger weiter — niemand hat die Server gehackt

Revolut wurde nicht gehackt. Niemand durchbrach seine Firewalls oder fand eine Schwachstelle im Code. Stattdessen gab sich ein Angreifer als Regierungsbehörde aus, nutzte eine E-Mail-Adresse mit einer legitimen offiziellen Domain, reichte eine Anfrage auf Datenherausgabe ein, die Revoluts Verifizierungsprüfungen als echt akzeptierten, und ging mit vollständigen Ausweisdokumenten, Passkopien, Onboarding-Selfies und der kompletten Kontohistorie betroffener Nutzer davon – einschließlich aller Bitcoin-Transaktionen, die aufgeführt sind.

Der Angriff nutzte eine rechtliche Verpflichtung aus, keinen Softwarefehler. Finanzplattformen sind gesetzlich verpflichtet, auf offizielle Datenanfragen von Regierungsstellen und Strafverfolgungsbehörden zu reagieren. Indem der Angreifer diese Anfragen überzeugend genug fälschte, um Revoluts Prüfung zu bestehen, verwandelte er einen Compliance-Prozess, der die Öffentlichkeit schützen soll, in den Mechanismus eines Datendiebstahls. Revolut erklärte, man habe unabhängig versucht, die Anfrage bei der zuständigen Behörde zu validieren, aber die Täuschung wurde erst entdeckt, nachdem die Daten bereits weitergegeben worden waren.

Für jeden, dessen Konto betroffen war, ist die Offenlegung tiefgreifender als bei einem Standard-Breach. Die gestohlenen Daten verknüpfen vollständig verifizierte Identitäten – gesetzliche Namen, Geburtsdaten, Wohnadressen, Kopien von Pässen oder Führerscheinen sowie die Selfies, die bei der Kontoerstellung eingereicht wurden – mit Bitcoin-Wallet-Referenzen und vollständigen On-Chain-Transaktionsaufzeichnungen. Diese Kombination verfällt nicht. Selbst wenn die betroffenen Nutzer neue Wallets eröffnen, kann jeder mit den durchgesickerten Daten ihre früheren Coin-Bewegungen dauerhaft einer bestätigten realen Identität zuordnen.

Revolut erklärte, dass keine biometrische Gesichtstelemetrie beteiligt war – nur die systemgenerierten Vorlagen, die für das automatisierte Gesichtsabgleichen verwendet werden –, sondern nur das rohe Foto, das beim Onboarding aufgenommen wurde. Kundengelder waren nicht betroffen. Das Unternehmen blockierte die betrügerische E-Mail-Adresse, benachrichtigte die Regierungsbehörde, deren Identität kopiert worden war, informierte die Strafverfolgungsbehörden und reichte die erforderlichen regulatorischen Meldungen ein. Ob die europäischen Datenschutzbehörden diese Reaktion als angemessen betrachten, ist eine offene Frage: Die DSGVO stellt strenge Anforderungen an den Umgang und den Schutz der Art von Ausweisdokumenten, die entwendet wurden.

Der Vorfall weist auf eine Kategorie von Angriffen hin, die technische Sicherheit allein nicht verhindern kann. Ein Unternehmen kann seine Datenbanken verschlüsseln, seine APIs prüfen und Penetrationstests durchführen – und dennoch durch die Verfahren, die es gesetzlich befolgen muss, sozial manipuliert werden. Das Problem ist nicht Revoluts Code. Es ist die ungelöste Frage, wie irgendeine Organisation verifiziert, dass eine Anfrage mit offiziellen Kennzeichen tatsächlich von der Behörde stammt, die sie zu vertreten vorgibt.

Revolut benachrichtigte betroffene Kunden direkt und hat die Gesamtzahl der betroffenen Konten oder die spezifischen Märkte, in denen die Offenlegung erfolgte, nicht offengelegt. Für jeden, der eine Benachrichtigung über den Vorfall erhalten hat, öffnen Ausweisdokumente in den Händen von Betrügern die Tür zu Betrug, der weit über die Plattform selbst hinausgeht – betrügerische Passnutzung, Phishing-Anrufe, die auf echte Kontodaten verweisen, Identitätsdiebstahl bei Finanzdienstleistungen. Und der Bitcoin-Datensatz ist eine andere Art von Problem: Revolut kann ein Passwort zurücksetzen, aber niemand setzt die Blockchain zurück.

Schlagwörter: fintech, data breach, social engineering, Revolut