Revolut hat Kundenidentitäten und Finanzunterlagen, einschließlich Bitcoin-Transaktionsverläufen, offengelegt, nachdem es auf eine betrügerische Anfrage reagiert hatte, die von einer Regierungsbehörde zu stammen schien.
Zusammenfassung
- Revolut gab an, dass ein unbefugter Absender die E-Mail-Domain einer offiziellen Regierungsbehörde verwendet habe.
- Die offengelegten Unterlagen umfassten Identitätsdokumente, Verifizierungs-Selfies und vollständige Transaktionsverläufe.
- Bitcoin-Wallet-Referenznummern erschienen in Kontoauszügen, die in der Kundenmitteilung aufgeführt waren.
- ZachXBT sagte, der Vorfall scheine begrenzt zu sein und könnte auf vermögende Nutzer abgezielt haben.
Laut einer Revolut-Kundenmitteilung, die der On-Chain-Ermittler ZachXBT auf Telegram teilte, kam die Anfrage von einem unbefugten E-Mail-Konto, das die Domain einer offiziellen Regierungsbehörde verwendete. Die Nachricht bestand die Domain-Authentifizierungsprüfungen, und Revolut erklärte, dass es die Anfrage für echt hielt, als es die Informationen bereitstellte.
Die Mitteilung nennt weder die Behörde noch sagt sie, wie der unbefugte Absender Zugang zu deren E-Mail-Domain erlangte. Sie gibt auch kein Datum für die Anfrage oder die Offenlegung an. ZachXBT sagte, mehrere Kunden hätten am Freitag, dem 11. September, eine Warn-E-Mail erhalten, aber weder er noch der in seinem Beitrag gezeigte Teil der Mitteilung nannten eine bestätigte Anzahl betroffener Nutzer.
Wie die gefälschte Anfrage Revolut erreichte
In seiner Darstellung des Vorfalls erklärte Revolut, die E-Mail habe wie eine legitime Regierungsanfrage gewirkt, weil sie gültige Domain-Authentifizierungsnachweise trug. Die Anfrage wurde direkt von einem unbefugten Konto unter Verwendung der offiziellen E-Mail-Domain der Behörde gesendet, nicht von einer Adresse, die dieser nur ähnlich sah.
„Da die Kommunikation gültige Domain-Authentifizierungsnachweise trug, wurde sie in der vernünftigen Annahme erfüllt, dass es sich um eine authentische Anfrage einer Regierungsbehörde handelte“, hieß es in der Mitteilung.
Die Formulierung beschreibt eine unbefugte Offenlegung als Reaktion auf eine irreführende Anfrage. Die Mitteilung besagt nicht, dass ein Eindringling in die Systeme von Revolut eingedrungen ist, auf Kundenkonten zugegriffen oder Gelder abgehoben hat. Sie identifiziert nicht die Person, die die Anfrage gesendet hat, und sagt auch nicht, ob die Behörde die Nutzung ihres E-Mail-Kontos untersucht hat.
ZachXBT beschrieb den Vorfall als wahrscheinlich begrenzt im Umfang und sagte, er scheine auf vermögende Nutzer abgezielt zu haben. Die Revolut-Mitteilung, wie im Screenshot gezeigt, bestätigt weder die Größe der betroffenen Gruppe noch, wie die Kunden ausgewählt wurden.
Was Revolut nach eigenen Angaben offengelegt hat
Die Anfrage führte auch zur Offenlegung von Kopien von Identitätsdokumenten wie Reisepässen oder Führerscheinen sowie der Selfies, die Kunden für Identitätsprüfungen bereitgestellt hatten. Revolut unterschied zwischen diesen Bildern und biometrischen Gesichts-Telemetriedaten, die nach eigenen Angaben nicht betroffen waren.
Kontoauszüge bildeten einen weiteren Teil des offengelegten Materials. Laut der Mitteilung enthielten die Auszüge IBANs, Kontostatus, Kontoeröffnungsdaten und Bitcoin-Wallet-Referenznummern. Auch Auszahlungsbelege und vollständige Transaktionsverläufe, einschließlich Bitcoin-Transaktionen, wurden bereitgestellt.
Die Mitteilung listet Kategorien von Informationen auf, die möglicherweise offengelegt wurden; sie belegt nicht, dass jeder betroffene Kunde jede Art von Unterlage in den Akten hatte. Sie besagt auch nicht, dass Wallet-Privatschlüssel, Kontopasswörter oder vollständige Zahlungskartendaten enthalten waren. Bitcoin-Transaktionsverläufe sind für Krypto-Nutzer besonders relevant, da die Mitteilung sie zusammen mit Namen und anderen Kontounterlagen in den Informationen aufführt, die an den unbefugten Anfragenden gesendet wurden.
Revolut bedient laut einer Unternehmensankündigung vom August weltweit mehr als 80 Millionen Kunden. Diese Kundenzahl beschreibt die Größe des Geschäfts, nicht die Anzahl der von dieser Offenlegung Betroffenen.
Was die Aufzeichnungen für betroffene Kunden bedeuten könnten
Das britische Information Commissioner’s Office erklärt, dass die möglichen Folgen einer Verletzung personenbezogener Daten Identitätsdiebstahl, Betrug und finanziellen Verlust umfassen. Seine Verletzungsrichtlinien fordern eine Bewertung der betroffenen Informationen und des wahrscheinlichen Schadens für Einzelpersonen; sie belegen nicht, dass jemand im Revolut-Vorfall diese Folgen erlitten hat.
Für einen Kunden, dessen Identitätsdokument und Transaktionsaufzeichnungen beide offengelegt wurden, deutet die Mitteilung darauf hin, dass der Empfänger eine detaillierte Darstellung der Finanzen dieser Person hätte erhalten können. ZachXBTs Behauptung, dass wohlhabende Nutzer ins Visier genommen wurden, wurde von Revolut in dem gezeigten Material nicht bestätigt, und eine anschließende missbräuchliche Verwendung der Aufzeichnungen ist dort nicht dokumentiert.
Die Richtlinien der Aufsichtsbehörde besagen außerdem, dass Organisationen bestimmte Verletzungen personenbezogener Daten innerhalb von 72 Stunden nach Kenntnisnahme melden müssen, sofern dies machbar ist, und Einzelpersonen unverzüglich benachrichtigen müssen, wenn das Risiko für ihre Rechte und Freiheiten hoch ist. Der Screenshot sagt nicht, ob Revolut eine Aufsichtsbehörde benachrichtigt hat oder wann das Unternehmen erstmals von der unbefugten Anfrage erfuhr.
In seinen US-Sicherheitsrichtlinien rät Revolut Kunden, den In-App-Support-Chat zu nutzen, um zu prüfen, ob ein verdächtiger Kontakt echt ist. Das Unternehmen erklärt, dass es Kunden nicht auffordern wird, Verifizierungs- oder Sicherheitscodes am Telefon mitzuteilen. Die von ZachXBT gezeigte Kundenmitteilung berichtet nicht, dass solche Codes offengelegt wurden.
Revoluts US- und Krypto-Geschäfte
Der Vorfall ereignet sich während der Expansion von Revoluts Bank- und Digitalanlagendiensten. Am 26. August begann das Unternehmen, ausgewählten Kunden in Dänemark, Polen und Portugal seinen eurogestützten EURR-Stablecoin anzubieten, mit geplanter weiterer europäischer Verfügbarkeit, wie zuvor von crypto.news berichtet. Die Einführung des Stablecoins ist getrennt von der Offenlegung der Kundenaufzeichnungen.
Revoluts US-Pläne liefern Kontext für amerikanische Leser, obwohl die Mitteilung keinen betroffenen Kunden als in den Vereinigten Staaten befindlich identifiziert. Am 3. September erhielt das Unternehmen die bedingte Genehmigung für eine US-Bank vom Office of the Comptroller of the Currency. Seine vorgeschlagene Bank in Stamford, Connecticut, würde etwa 95 Millionen US-Dollar an Anfangskapital erhalten und könnte 2027 eröffnen, wenn sie die verbleibenden Genehmigungen erhält.
Derzeit bietet Revolut US-Kunden Bankdienstleistungen über Lead Bank an, laut dem früheren Bericht. Die vorgeschlagene nationale Bank benötigt noch eine Einlagenversicherung der Federal Deposit Insurance Corporation, die Genehmigung der Federal Reserve und die endgültige Zulassung der OCC, bevor sie eröffnen kann.
