Revolut-datalek: bevestigde feiten en de onbewezen losgeldeis van 3 miljoen dollar

Revolut heeft bevestigd dat gevoelige klantinformatie bij een onbevoegde derde terechtkwam nadat het bedrijf frauduleuze verzoeken ontving vanaf een legitiem e-maildomein van een overheidsinstantie. Revolut noemt het incident een externe imitatie- of social-engineeringscam, niet een bevestigde inbraak in de kernsystemen. 12

Tegelijkertijd is er een openbare losgeldclaim van een groep die zichzelf „iamnotavillain” noemt. Daarbij is één voorbehoud cruciaal: Revolut vertelde Reuters geen direct contact of losgeldeis te hebben ontvangen van de personen die de verantwoordelijkheid opeisen. 2

Wat Revolut heeft bevestigd

Volgens de door Reuters gemelde verklaring van Revolut gebruikten fraudeurs een legitiem e-maildomein van een overheidsinstantie om misleidende verzoeken om klantgegevens in te dienen. Revolut verstrekte vervolgens gevoelige informatie aan een onbevoegde derde voordat de fraude werd ontdekt. 1

Het bedrijf zegt de betrokken klanten te hebben geïnformeerd en omschreef hun aantal aanvankelijk als „zeer beperkt”. Reuters meldde later dat het incident naar schatting ongeveer 680 klanten betreft, al noemde Revolut dat aantal niet in zijn eerste openbare verklaring. 12

Meldingen aan getroffen klanten wijzen erop dat de blootgestelde gegevens identiteits- en contactgegevens kunnen omvatten, zoals geboortedata, adressen, telefoonnummers en kopieën van identiteitsdocumenten. TechCrunch meldde dat het mogelijk ook ging om selfies voor identiteitsverificatie, rekeningafschriften en andere accountgerelateerde documenten. 5

Zijn de systemen van Revolut gehackt?

Op basis van Revoluts eigen uitleg en berichtgeving van een ingewijde bron zijn de kerninfrastructuur, databanken en klantaccounts van Revolut niet gehackt. Revolut stelde ook dat zijn systemen en klanttegoeden niet zijn geraakt. 12

Dat onderscheid is belangrijk. Het bevestigde incident betreft een gegevensverstrekking die werd uitgelokt door frauduleuze verzoeken, en geen bevestigde technische inbraak in de accountsystemen of databanken van Revolut. De openbare berichtgeving legt niet elk technisch detail onafhankelijk vast; de volledige reikwijdte moet daarom niet verder worden ingevuld dan de feiten toelaten. 12

De gemelde eis van 3 miljoen dollar

De Financial Times meldde volgens Reuters dat de personen die de verantwoordelijkheid opeisen dreigden vertrouwelijke dossiers van honderden Revolut-klanten aan andere criminele groepen te verkopen, tenzij Revolut binnen 24 uur 3 miljoen dollar zou betalen. 2

Andere berichten noemen een vraagprijs van 6.000 Monero (XMR), destijds ongeveer 3 miljoen dollar, en schrijven de actie toe aan „iamnotavillain”. De groep zou haar ultimatum online hebben gezet met een aftellende klok en hebben verklaard dat er geen onderhandelingen waren geweest. 46

Dit zijn beweringen van, of toegeschreven aan, de vermeende aanvallers. Ze bewijzen niet dat de identiteit van de groep vaststaat, dat zij alle gegevens bezit die zij zegt te hebben of dat een verkoop daadwerkelijk kan plaatsvinden. De verklaring van Revolut dat het geen directe eis heeft ontvangen, maakt de status van het openbare ultimatum nog onzekerder. 26

Wat we wel en niet weten

Ondersteund door Revolut en grote nieuwsmedia

• Frauduleuze verzoeken vanaf een legitiem e-maildomein van een overheidsinstantie leidden tot een ongeoorloofde verstrekking van gevoelige klantgegevens. 1
• Revolut zegt dat zijn systemen en de tegoeden van klanten niet zijn geraakt. 1
• Reuters meldde dat Revolut geen direct contact of losgeldeis van de vermeende daders heeft ontvangen. 2
• In de berichtgeving wordt uitgegaan van ongeveer 680 getroffen klanten. 24

Nog onbevestigd of afhankelijk van claims van de vermeende aanvallers

• Of „iamnotavillain” daadwerkelijk de persoon of groep achter de gegevensverstrekking is. 26
• Of de groep werkelijk de volledige verzameling dossiers heeft die zij claimt te bezitten. 26
• Of gegevens al zijn verkocht, gedeeld of gebruikt door andere criminele groepen. 2
• De volledige technische en operationele gang van zaken waardoor de frauduleuze verzoeken geloofwaardig leken. 12

Conclusie

De beschikbare informatie ondersteunt een afgebakende maar ernstige conclusie: Revolut heeft gevoelige klantgegevens verstrekt nadat het was misleid door frauduleuze verzoeken die afkomstig leken van een legitiem e-maildomein van een overheidsinstantie. Revolut betwist dat zijn kerninfrastructuur of klantaccounts zijn binnengedrongen. 12

De eis van 3 miljoen dollar in Monero, de termijn van 24 uur, de aftellende klok en de naam „iamnotavillain” zijn publiekelijk gemeld, maar blijven beschuldigingen die aan de vermeende aanvallers zijn gekoppeld. Zolang die niet onafhankelijk zijn bevestigd, moeten ze worden onderscheiden van de gegevensverstrekking die Revolut zelf heeft bevestigd. 26