Revolut hat 680 Kunden benachrichtigt, nachdem Cyberkriminelle ein legitimes Regierungs-E-Mail-Konto genutzt hatten, um sensible Identitäts-, Bank- und Bitcoin-bezogene Datensätze zu erlangen.
Zusammenfassung
- Die Financial Times berichtet, dass Revolut 680 Kunden benachrichtigt hat, nachdem betrügerische Anfragen Identitäts- und Finanzdaten offengelegt hatten.
- Die Angreifer nutzten eine legitime E-Mail-Domain einer Regierungsbehörde, während Revolut angibt, dass seine Systeme nicht kompromittiert wurden.
- Zu den offengelegten Datensätzen gehörten Pässe, Adressen, Verifizierungs-Selfies, Kontoauszüge, IBANs und Bitcoin-Transaktionshistorien von Kunden.
- Das britische Information Commissioner’s Office hat eine Untersuchung eingeleitet, nachdem Revolut den Vorfall den Aufsichtsbehörden gemeldet hatte.
- Der ehemalige Mt. Gox-Chef Mark Karpelès sagte, Revolut habe ihn am Freitag gewarnt, dass seine Informationen offengelegt worden seien.
Revolut bestätigte, dass ein unbefugter Dritter betrügerische Informationsanfragen von einem E-Mail-Konto mit einer legitimen Regierungsbehörden-Domain eingereicht hatte. Das Unternehmen behandelte die Anfragen als echt, bevor es das Identitätstäuschungsschema entdeckte.
Revolut-Datenpanne kam über eine legitime Regierungsdomain
Anders als bei einem Eindringen in Revoluts eigenes Netzwerk wurden bei dem Vorfall Informationen freigegeben, nachdem irreführende Anfragen das Unternehmen über einen scheinbar authentischen Regierungskanal erreicht hatten. Revolut bezeichnete den Vorfall als „raffinierten externen Identitätstäuschungsbetrug“.
Eine von TechCrunch eingesehene Kundenmitteilung besagte, dass die Kommunikation gültige Domain-Authentifizierungsnachweise trug, was Revolut zu der Annahme veranlasste, eine echte Regierungsanfrage erhalten zu haben. Das Unternehmen hat die beteiligte Behörde nicht genannt oder öffentlich erklärt, wie der Dritte die Kontrolle über das Regierungs-E-Mail-Konto erlangte.
Die öffentliche Seite des Unternehmens für offizielle Informationsanfragen verweist zuständige Behörden und Rechtsvertreter an eine spezielle Adresse für Gerichtsbeschlüsse. Es wird darum gebeten, pro Fall eine E-Mail einzureichen, obwohl Revolut nicht öffentlich beschrieben hat, welche Verifizierungsschritte bei den betrügerischen Anfragen im Zusammenhang mit der Datenpanne angewendet wurden.
Wie crypto.news berichtete, als der Vorfall erstmals auftauchte, verbreitete der On-Chain-Ermittler ZachXBT eine Kopie einer Kundenbenachrichtigung und sagte, der Vorfall scheine vom Umfang her begrenzt und möglicherweise auf vermögende Nutzer konzentriert zu sein. Revolut hat diese Einschätzung nicht bestätigt.
Offengelegte Daten umfassten Identitätsdateien und Bitcoin-Aktivitäten
Von mehreren Medien eingesehene Kundenmitteilungen listeten eine große Bandbreite personenbezogener Informationen auf, die möglicherweise offengelegt wurden. Zu den Datensätzen gehörten vollständige Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern.
Kopien von Pässen oder Führerscheinen und die bei der Identitätsverifizierung eingereichten Selfies gehörten zu den aufgeführten Datensätzen. Revoluts Mitteilung unterschied diese Verifizierungsbilder von biometrischer Gesichtstelemetrie, die laut Unternehmen nicht Teil der betroffenen Informationen war.
Die Finanzinformationen gingen über grundlegende Kontodetails hinaus. Kundenauszüge könnten IBANs, Kontoeröffnungsdaten, Kontostatus, Auszahlungsaufzeichnungen und vollständige Transaktionshistorien enthalten. Für Krypto-Kunden umfasste das Material Bitcoin-Transaktionen und in den Kontounterlagen angezeigte Wallet-Referenznummern.
In der Mitteilung wurde nicht angegeben, dass private Schlüssel, Kontopasswörter oder vollständige Zahlungskarten-Zugangsdaten an den unbefugten Anfragenden übermittelt wurden. Es wurden Kategorien von Datensätzen aufgeführt, die möglicherweise offengelegt wurden, was bedeutet, dass die verfügbaren Beweise nicht belegen, dass bei jeder betroffenen Person jede aufgeführte Kategorie offengelegt wurde.
Die Financial Times berichtete später, dass der ehemalige Mt. Gox-CEO Mark Karpelès zu den betroffenen Kunden gehörte. Karpelès sagte, Revolut habe ihm am 12. September um 5:25 Uhr eine E-Mail geschickt, in der gewarnt wurde, dass seine Informationen möglicherweise kompromittiert worden seien.
Karpelès stellte infrage, warum das Fintech-Unternehmen die Datensätze herausgab, obwohl die Anfrage von einer verifizierten Regierungsadresse kam. Seine Kritik stellt seine Einschätzung von Revoluts Umgang mit der Anfrage dar und nicht eine regulatorische Feststellung gegen das Unternehmen.
Crypto.news hat Karpelès’ Geschichte als ehemaliger Betreiber von Mt. Gox ausführlich dargestellt, der Bitcoin-Börse, die 2014 nach dem Verlust von Kundenkryptowährungen zusammenbrach.
Erpressungsvorwürfe tauchen auf, als Kundendateien auftauchen
Personen, die die Verantwortung für den Vorfall beanspruchen, haben damit gedroht, Kundeninformationen zu veröffentlichen, es sei denn, Revolut zahlt eine Erpressungsforderung, so die Financial Times und Recorded Future News. Revolut lehnte eine Stellungnahme gegenüber Recorded Future News dazu ab, ob es eine Erpressungsforderung erhalten habe oder darauf reagiere.
Recorded Future News berichtete, dass Material über ein Telegram-Konto verbreitet wurde, das eine Beteiligung an dem Vorfall beanspruchte. Ein Kunde, dessen Informationen in dem Material auftauchten, bestritt dessen Authentizität nicht, während der Kryptounternehmer Marc Zeller separat sagte, dass ihm gehörende Informationen offengelegt worden seien.
Teile der Darstellung der Angreifer bleiben unbestätigt. Das Telegram-Konto deutete an, dass die Regierungs-E-Mail von einer italienischen Domain stammte, aber Recorded Future News sagte, es könne nicht alle Details in den Beiträgen des Kontos bestätigen. Italienische Behörden, die von der Publikation kontaktiert wurden, hatten nicht geantwortet, und das Telegram-Konto wurde später gesperrt.
Revolut hat die Regierungsbehörde, deren E-Mail-System verwendet wurde, nicht öffentlich identifiziert. Bis zum 15. September liegt keine offizielle Erklärung vor, die feststellt, wie das Konto kompromittiert wurde, ob Anmeldedaten gestohlen wurden oder ob derselbe Regierungs-E-Mail-Zugang gegen andere Finanzinstitute verwendet wurde.
Das FBI hat Unternehmen zuvor davor gewarnt, dass Kriminelle Zugang zu E-Mail-Konten von Strafverfolgungsbehörden und Regierungen erlangen und diese nutzen, um betrügerische Notfalldatenanfragen einzureichen. Recorded Future News wies darauf hin, dass ähnliche Taktiken bei früheren Angriffen mit kompromittierten Konten von Strafverfolgungsbehörden gegen Technologieunternehmen eingesetzt wurden.
Britische Datenschutzaufsicht untersucht die Offenlegung
Das britische Information Commissioner’s Office hat eine Untersuchung eingeleitet, nachdem Revolut den Vorfall gemeldet hatte, berichtete die Financial Times am Montag. Eine Untersuchung allein belegt nicht, dass Revolut gegen britisches Datenschutzrecht verstoßen hat.
Nach der ICO-Richtlinie müssen Organisationen im Allgemeinen die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, nachdem sie von einer meldepflichtigen Verletzung personenbezogener Daten erfahren haben. Wenn ein Vorfall ein hohes Risiko für die Rechte und Freiheiten von Personen schafft, müssen die betroffenen Personen unverzüglich informiert werden.
Der Fall kommt Monate, nachdem Revolut die Genehmigung erhalten hat, eine vollwertige britische Bank zu betreiben. Wie crypto.news im März berichtete, ermöglichte die Genehmigung der Prudential Regulation Authority der Revolut Bank UK, mit Bankstatus und Einlagensicherung für berechtigte Kundeneinlagen tätig zu werden. Der Kryptohandel bleibt außerhalb dieser Einlagensicherungsstruktur.
Revolut bedient weltweit mehr als 80 Millionen Kunden, so die vom Unternehmen zitierte Zahl, die von TechCrunch und Recorded Future News angeführt wurde. Die von der Financial Times identifizierten 680 Personen stellen die derzeit gemeldete Zahl aus der Untersuchung dar und sollten nicht als endgültige Zahl behandelt werden, es sei denn, Revolut oder Aufsichtsbehörden veröffentlichen eine aktualisierte Gesamtzahl.
Die veröffentlichte ICO-Richtlinie besagt, dass Ermittler die Art der offengelegten Daten, die Anzahl der betroffenen Personen, potenziellen Schaden und die verwendeten technischen oder organisatorischen Schutzmaßnahmen prüfen können, bevor sie entscheiden, ob regulatorische Maßnahmen gerechtfertigt sind.
