Revolut-Datenweitergabe: Was bestätigt ist – und was an der 3-Millionen-Dollar-Forderung offen bleibt

Revolut hat bestätigt, dass sensible Kundendaten an einen unbefugten Dritten weitergegeben wurden. Auslöser waren betrügerische Auskunftsersuchen, die von einer legitimen E-Mail-Domain einer Behörde zu stammen schienen. Das Unternehmen ordnet den Vorfall als externen Identitätsbetrug beziehungsweise Social-Engineering-Angriff ein – nicht als bestätigten Einbruch in seine Kernsysteme. 12

Zusätzlich gibt es eine öffentliche Lösegeldforderung einer Gruppe, die sich „iamnotavillain“ nennt. Hier ist jedoch eine entscheidende Einschränkung nötig: Revolut teilte Reuters mit, dass das Unternehmen keinen direkten Kontakt und keine direkte Lösegeldforderung von den Personen oder der Gruppe erhalten habe, die die Verantwortung beanspruchen. 2

Was Revolut bestätigt hat

Nach Angaben des Unternehmens, über die Reuters berichtete, nutzten Betrüger eine legitime E-Mail-Domain einer Behörde, um täuschende Anfragen nach Kundendaten zu versenden. Revolut gab daraufhin sensible Informationen an einen unbefugten Dritten weiter, bevor der Betrug erkannt wurde. 1

Betroffene Kundinnen und Kunden seien benachrichtigt worden. Zunächst sprach Revolut von einer „sehr begrenzten“ Zahl. Reuters berichtete später, nach derzeitigem Verständnis seien rund 680 Kundinnen und Kunden betroffen. Diese Zahl hatte Revolut in seiner ersten öffentlichen Erklärung nicht genannt. 12

Aus Benachrichtigungen an Betroffene geht laut Berichten hervor, dass unter den offengelegten Daten Identitäts- und Kontaktdaten sein könnten: etwa Geburtsdaten, Adressen, Telefonnummern und Kopien von Ausweisdokumenten. TechCrunch berichtete zudem, dass möglicherweise Verifizierungs-Selfies, Kontoauszüge und weitere kontobezogene Unterlagen betroffen waren. 5

Wurden Revoluts Systeme gehackt?

Nach Revoluts Darstellung und laut einer mit dem Vorgang vertrauten Quelle wurden die Kerninfrastruktur, Datenbanken und Kundenkonten von Revolut nicht gehackt. Das Unternehmen erklärte außerdem, seine Systeme und Kundengelder seien nicht betroffen. 12

Diese Unterscheidung ist wesentlich: Bestätigt ist eine Datenweitergabe, die durch gefälschte Anfragen herbeigeführt wurde – nicht ein bestätigtes technisches Eindringen in Revoluts Kontosysteme oder Datenbanken. Nicht alle technischen Einzelheiten des Vorfalls sind durch öffentliche Berichte unabhängig belegt; der Umfang sollte daher nicht überzeichnet werden. 12

Die gemeldete Forderung über 3 Millionen US-Dollar

Nach einem Bericht der Financial Times, auf den Reuters Bezug nahm, drohten die Akteure, vertrauliche Unterlagen von Hunderten Revolut-Kunden an andere kriminelle Gruppen zu verkaufen, falls Revolut nicht binnen 24 Stunden 3 Millionen US-Dollar zahle. 2

Andere Berichte beziffern die Forderung auf 6.000 Monero (XMR), damals ungefähr 3 Millionen US-Dollar wert, und nennen „iamnotavillain“ als mutmaßlichen Akteur. Die Gruppe soll ihr Ultimatum zusammen mit einem Countdown online veröffentlicht und erklärt haben, es habe keine Verhandlungen gegeben. 46

Dabei handelt es sich um Behauptungen der mutmaßlichen Angreifer oder Angaben, die ihnen zugeschrieben werden. Sie belegen weder, dass die Identität der Gruppe echt ist, noch dass sie tatsächlich über sämtliche beanspruchten Unterlagen verfügt oder den angedrohten Verkauf durchführen könnte. Dass Revolut keine direkte Forderung erhalten haben will, verstärkt die Unsicherheit über den Status dieses öffentlichen Ultimatums. 26

Was bekannt ist – und was nicht

Durch Revoluts Angaben und große Medienberichte gestützt

• Betrügerische Anfragen von einer legitimen Behörden-E-Mail-Domain führten zur unbefugten Weitergabe sensibler Kundendaten. 1
• Revolut erklärt, dass seine Systeme und Kundengelder nicht betroffen seien. 1
• Reuters zufolge hatte Revolut keinen direkten Kontakt und erhielt keine direkte Lösegeldforderung von den mutmaßlichen Tätern. 2
• Medienberichte gehen von ungefähr 680 betroffenen Kundinnen und Kunden aus. 24

Weiterhin ungeprüft oder von Täterbehauptungen abhängig

• Ob „iamnotavillain“ tatsächlich die Person oder Gruppe hinter der Datenweitergabe ist. 26
• Ob die Gruppe den vollständigen Datensatz besitzt, den sie für sich beansprucht. 26
• Ob Daten bereits verkauft, geteilt oder von weiteren kriminellen Gruppen genutzt wurden. 2
• Die vollständige technische und organisatorische Kette, durch die die betrügerischen Anfragen glaubwürdig wirkten. 12

Fazit

Die vorliegenden Informationen stützen eine engere, aber dennoch ernste Schlussfolgerung: Revolut gab sensible Kundendaten weiter, nachdem das Unternehmen durch betrügerische Anfragen getäuscht worden war, die von einer legitimen Behörden-Domain zu stammen schienen. Revolut bestreitet, dass seine Kerninfrastruktur oder Kundenkonten kompromittiert wurden. 12

Die Forderung über 3 Millionen US-Dollar in Monero, das 24-Stunden-Ultimatum, der Countdown und die Zuordnung zu „iamnotavillain“ sind öffentlich berichtete, aber weiterhin unbestätigte Angaben, die mit den mutmaßlichen Angreifern verbunden sind. Solange sie nicht unabhängig belegt sind, müssen sie getrennt von der von Revolut bestätigten Datenweitergabe betrachtet werden. 26