Revolut bestaetigt Datenleck nach gefaelschten Behoerdenanfragen
Die britische Finanz-App Revolut gab Kundendaten an Unbekannte weiter, die sich über eine echte Behörden-E-Mail-Adresse als staatliche Stelle ausgaben.
Die britische Finanz-App Revolut hat bestätigt, sensible Kundendaten an einen unberechtigten Dritten weitergegeben zu haben. Auslöser waren betrügerische Anfragen, die von der E-Mail-Domain einer legitimen Behörde stammten. Das Unternehmen informierte betroffene Kunden per E-Mail über den Vorfall.
Revolut zählt zu den größten Finanz-Apps Europas und verwaltet die Daten von Millionen Nutzern. Anfragen von Behörden und Strafverfolgern gehören für solche Plattformen zum Alltag. Genau diese Routine machten sich die Angreifer zunutze, indem sie eine offizielle Absenderadresse verwendeten.
Nach den Revolut vorliegenden Angaben umfassten die weitergegebenen Informationen Geburtsdatum, Post- und E-Mail-Adressen sowie Telefonnummern. Hinzu kamen Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen. Möglicherweise waren auch Verifizierungs-Selfies, Kontoauszüge und Transaktionsverläufe betroffen. Ein Sprecher bestätigte den Vorgang gegenüber TechCrunch, ohne die Zahl der betroffenen Kunden zu nennen.
Ähnliche Betrugsmaschen hatten in den vergangenen Jahren bereits große Technologiekonzerne getroffen, die auf gefälschte Notfallanfragen von angeblichen Ermittlern hereinfielen. Offen bleibt, wie viele Revolut-Kunden betroffen sind und aus welchem Land die missbrauchte Behörden-Domain stammt. Für die Betroffenen erhöht die Kombination aus Ausweiskopien und Kontaktdaten das Risiko von Identitätsdiebstahl.
Fünf Blickwinkel auf dieselbe Nachricht — tippe dich durch.
Plattformen stehen im Zwiespalt, sie sollen behördlichen Anfragen schnell nachkommen und zugleich jede einzelne prüfen. Zu langsame Prüfung behindert legitime Ermittlungen, zu schnelle öffnet Betrügern die Tür. Genau in dieser Abwägung entsteht die Schwachstelle, die hier ausgenutzt wurde.
Wie viele Kunden von der Weitergabe betroffen sind, nennt Revolut nicht. Auch aus welchem Land die missbrauchte Behörden-Domain stammt und ob Ermittlungen laufen, geht aus der einzigen vorliegenden Quelle nicht hervor.
Sogenannte gefälschte Behördenanfragen sind eine bekannte Angriffsmethode, bei der Kriminelle mit offiziell wirkenden Auskunftsersuchen an Nutzerdaten gelangen. Die Schwachstelle liegt dabei nicht in der Technik, sondern im Vertrauen der Plattformen in scheinbar amtliche Absender.
Bereits 2022 gaben mehrere große US-Techkonzerne Nutzerdaten an Hacker heraus, die sich mit gefälschten Notfallanfragen als Polizei ausgaben. Dass nun eine Finanz-App auf dieselbe Masche hereinfällt, zeigt, wie wenig sich an der Prüfung solcher Anfragen seither geändert hat.