Revolut ist auf betrügerische Behördenanfragen hereingefallen und hat dabei vertrauliche Kundendaten offengelegt. Die Anfragen stammten offenbar von einer echten E-Mail-Domain einer Regierungsbehörde. Revolut betont, dass weder die eigenen Systeme noch Kundengelder betroffen seien.
Die Betrugsmasche war offenbar überzeugend: Die Anfragen wurden über ein E-Mail-Konto innerhalb der legitimen Domain einer Regierungsbehörde verschickt. Revolut stufte sie zunächst als authentisch ein und gab daraufhin Kundendaten heraus. Gegenüber The Block sprach das Unternehmen von einem „sophisticated external impersonation scam“, also einem ausgeklügelten Identitätstäuschungsbetrug.
Nach bisherigem Kenntnisstand wurden die Systeme von Revolut selbst nicht gehackt. Das Unternehmen erklärte, dass weder die eigene Infrastruktur noch die Gelder der Kund:innen von dem Vorfall betroffen seien. Revolut spricht von einer begrenzten Zahl Betroffener, hat bislang jedoch keine konkrete Zahl genannt. Auch welche Regierungsbehörde hinter der missbrauchten E-Mail-Domain steht, ist bisher nicht bekannt.
Nachdem Revolut den Betrug erkannt hatte, blockierte das Unternehmen nach eigenen Angaben die betreffende E-Mail-Adresse. Zudem informierte das Fintech die betroffene Regierungsbehörde sowie Strafverfolgungsstellen, Datenschutzbehörden und Finanzaufsichtsbehörden.
Welche Daten offengelegt wurden, kann je nach betroffenem Kundenkonto variieren. Laut einer Benachrichtigung von Revolut an Betroffene könnten unter anderem Namen, Geburtsdaten, Post- und E-Mail-Adressen sowie Telefonnummern weitergegeben worden sein. Auch Kopien von Reisepässen oder Führerscheinen und Selfies aus der Identitätsprüfung zählen zu den möglicherweise betroffenen Daten.
Darüber hinaus könnten auch Finanzinformationen offengelegt worden sein. In einer öffentlich bekannt gewordenen Kundenbenachrichtigung werden unter anderem IBANs, Kontoauszüge, Informationen zu Abhebungen und vollständige Transaktionshistorien genannt. Bei einzelnen Betroffenen können darunter auch Angaben zu Bitcoin-Transaktionen fallen.
Besonders brisant ist die mögliche Verknüpfung persönlicher Identitätsdaten mit detaillierten Finanzinformationen. Solche Datensätze können für Identitätsdiebstahl oder gezielte Betrugsversuche genutzt werden. Bislang gibt es jedoch keine belastbaren Hinweise darauf, dass die offengelegten Daten bereits missbraucht wurden.
Offen bleibt vor allem, wie eine unbefugte Person Zugriff auf ein E-Mail-Konto innerhalb der legitimen Behörden-Domain erhalten konnte. Ebenfalls unklar ist, ob sich der Vorfall auf ein bestimmtes Land beschränkt und wie viele betrügerische Anfragen tatsächlich an die Neobank gestellt wurden.
Der Fall macht deutlich, dass selbst echte Behörden-Domains keinen vollständigen Schutz vor Betrug bieten. Welche Konsequenzen Revolut oder zuständige Aufsichtsbehörden daraus ziehen, ist derzeit noch offen.
Danke, dass du dir Zeit genommen hast, um deinen Kommentar zu schreiben. Du hilfst damit das Produkterlebnis zu verbessern und gibts anderen Nutzern die Möglichkeit weitere Informationen zu diesem Beitrag zu lesen.
