LONDON (IT BOLTWISE) – Revolut berichtet von einer erfolgreichen Betrugsmasche, bei der gefälschte Anfragen über die E-Mail-Domain einer legitimen Regierungsstelle abgesetzt wurden. Dabei gelangten offenbar KYC-Daten wie Ausweisdokumente und Verifikations-Selfies in fremde Hände. Zusätzlich werden Konto- und Transaktionsinformationen bis hin zu Bitcoin-Transaktionen genannt. Revolut sagt, die eigenen Systeme und Kundengelder seien nicht betroffen und nur ein kleiner Teil der Nutzer dürfte betroffen sein.
Revolut hat nach eigenen Angaben ein Datenleck durch eine gezielte Identitäts- und Behörden-Impersonation bestätigt. Im Kern geht es um eine Betrugswelle, bei der eine „unautorisierte dritte Partei“ Anfragen stellvertretend für eine angeblich echte Regierungsstelle über deren E-Mail-Domain versandte. Dass die Mailadresse selbst als glaubwürdig wirkte, reicht in solchen Social-Engineering-Abläufen oft schon aus, um interne Verifikationsprozesse zu umgehen oder zu überreden. Revolut erklärte, es habe die Adresse nach der Entdeckung gesperrt, die zuständigen Stellen informiert und zugleich Daten-, Finanz- und Aufsichtsbehörden eingebunden.
Technisch interessant ist dabei weniger der einzelne Kommunikationskanal als die Art, wie KYC-bezogene Daten in solchen Finanzprodukten überhaupt nach außen gelangen. Wenn ein Kunde im Onboarding-Prozess Ausweisdokumente und Verifikations-Selfies hochlädt, werden diese Informationen typischerweise in einem getrennten Identitäts- und Compliance-Kontext verarbeitet, aber im Zweifel auch für spätere Prüfungen oder Rückfragen anfrageseitig bereitgestellt. In den veröffentlichten Benachrichtigungen wird genau dieser KYC-Baustein genannt: Je nachdem, welches Dokument Nutzer bei der Kontoerstellung eingereicht hatten, seien offenbar sowohl der Passport als auch der Führerschein betroffen gewesen – ergänzt um das Selfie, das über die App zur Verifizierung hochgeladen wurde. Zusätzlich fallen weitere personenbezogene Daten auf, etwa vollständige Namen, Geburtsdaten sowie Wohn- und E-Mail-Adressen, Telefonnummern und Angaben zur Berufstätigkeit.
Nicht nur Identitätsdaten stehen im Fokus, sondern auch finanzielle Nachweise und Bewegungsprofile. In den genannten Benachrichtigungen werden Kontoauszüge, IBANs, Auszahlungs- bzw. Abhebungsaufzeichnungen sowie vollständige Transaktionshistorien beschrieben. Besonders heikel: Es werden auch Bitcoin-bezogene Transaktionen explizit als Bestandteil der offenbar kompromittierten Informationen genannt. Damit wird ein zentrales Risiko sichtbar, das bei vielen Finanzdienstleistungen unterschätzt wird: Selbst wenn ein Angreifer kein Geld transferieren kann, kann die Exfiltration von Abrechnungs- und Bewegungsdaten ausreichen, um späteren Missbrauch zu ermöglichen, etwa durch gezielte Erpressung, Social-Engineering gegenüber Dritten oder reputationsbezogene Angriffe.
Aus Sicht des Incident-Managements bleibt zugleich offen, wie breit das Leck tatsächlich war. Revolut machte keine Angaben zur Anzahl der betroffenen Kunden und nannte auch keine Liste der betroffenen Datenkategorien. Vertraute Personen aus dem Umfeld der betroffenen Fintech-Organisation ordneten das Geschehen dennoch ein: Laut diesen Angaben sei nur ein kleiner Anteil der Kundschaft betroffen. Gleichzeitig verweist das Unternehmen auf laufende Ermittlungen sowie auf Vertraulichkeits- und Datenschutzpflichten, was typischerweise bedeutet, dass Details zur Reichweite, etwa nach Region oder nach betroffenen Datenklassen, erst nach Abschluss von Prüfungen publik werden. Für Unternehmen und IT-Verantwortliche ist genau diese Unschärfe operativ relevant: Ohne belastbare Transparenz kann man weder das tatsächliche Risiko für einzelne Nutzersegmente abschätzen noch die nächsten Schritte für Monitoring und Incident Response exakt priorisieren.
Der öffentliche Druck steigt indes über Kanäle, die in der Vergangenheit häufig mit Leaker- oder Erpresserkampagnen verknüpft waren. In Telegram-Gruppen seien Beiträge online gegangen, die Datenschnipsel zeigen und laut der Darstellung des zugrunde liegenden Berichts scheinbar Informationen über prominente Personen enthalten, darunter CEOs, Sportprofis und Künstler. In den Postings wird zudem mit einer schrittweisen Veröffentlichung weiterer Daten gedroht, bis eine Zahlung erfolgt. Als Forderung wird ein Betrag von 10.000 Bitcoin genannt, was im Text als „mehr als 782 Millionen US-Dollar“ beziffert wird – wobei Revolut auf Nachfrage nicht zu den angeblichen Lösegeldforderungen Stellung nahm. Für die forensische Bewertung ist dabei entscheidend, ob und in welchem Umfang diese Posts tatsächlich belastbare Daten enthalten oder teilweise nur als „Lockmittel“ dienen.
Revolut versucht derweil, das Risiko in der Kommunikation zu begrenzen: Das Unternehmen sagt, die Daten seien an eine unautorisierte dritte Partei übermittelt worden, nachdem die Anfragen von einer echten Behörden-Domain eingereicht worden waren. Gleichzeitig betont der Anbieter, dass weder die eigenen Systeme noch die Kundengelder betroffen seien. Das ist eine wichtige Unterscheidung, weil sie die Schadenswirkung in die Kategorie „Datenabfluss“ verschiebt, nicht in „Zahlungsmanipulation“. Für Nutzer bedeutet das dennoch nicht „geringe Folgen“: Schon ein einmaliger KYC-Diebstahl kann für spätere Identitätsbetrugsversuche genutzt werden, während Transaktionshistorien die Angriffsfläche für personalisiertes Social Engineering erhöhen. In der Produkt- und Plattformperspektive wird außerdem sichtbar, wie stark regulatorische Erwartungen an Nachweisdaten mit der Notwendigkeit kollidieren, Anfragetransparenz zu härten – insbesondere dann, wenn legitime Absenderdomänen missbraucht werden.
Market-seitig kommt erschwerend hinzu, dass Revolut bereits früh mit dem Aufbau eines Bankenangebots vorangekommen ist: In der Meldung heißt es, das Unternehmen habe für die UK-Bank im März die Genehmigung erhalten. Damit wächst die Erwartungshaltung an Sicherheitsprozesse gerade in Bereichen, die im Alltag mit behördlichen Informationsanforderungen und Compliance-Workflows zusammenhängen. Auch das Nutzerprofil ist groß genug, um selbst bei „kleinem Anteil“ spürbare Auswirkungen zu erzeugen: Revolut bedient mehr als 80 Millionen Privatkunden weltweit sowie über 800.000 Unternehmen. Der Blick von Wettbewerbern und Banken-IT richtet sich deshalb häufig auf zwei Fragen: Wie robust sind Verifikationsketten gegen Behörden-Impersonation, und wie feingranular ist die Zugriffskontrolle auf KYC- und Transaktionsdaten bei externen Anfragen? Antworten darauf entscheiden nicht nur über die unmittelbare Schadensbegrenzung, sondern auch darüber, wie schnell ein Anbieter nach einem Vorfall wieder Vertrauen und Compliance-Sicherheit ausrollen kann.
Am Ende bleibt die wichtigste Konsequenz für die IT-Praxis: Betrug über legitime Domain-Absender ist kein exotisches Randphänomen, sondern ein Muster, das in Identity-Workflows gezielt genutzt wird. Für Teams heißt das, dass technische Schutzmaßnahmen wie restriktive Freigabeprozesse, kontextabhängige Autorisierung und ein hartes Logging von Datenzugriffen zusammen mit organisatorischen Prüfungen an externen Request-Quellen gedacht werden müssen. Außerdem rückt die Frage nach Transparenz in den Vordergrund, weil Betroffenenkommunikation ohne klare Datenreichweite schwerer planbar ist. Während Revolut Ermittlungen laufen lässt und die relevanten Behörden informiert, liefern die an die Öffentlichkeit gelangten Informationen ein deutliches Signal: Sobald Ausweisdaten, IBANs und Transaktionshistorien kombiniert abfließen, reicht ein „kein Geld betroffen“-Satz allein nicht, um das tatsächliche Risiko für Nutzer vollständig zu adressieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Revolut-Datenleck durch gefälschte Regierungsanfragen: KYC- und Transaktionsdaten betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Revolut-Datenleck durch gefälschte Regierungsanfragen: KYC- und Transaktionsdaten betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Revolut-Datenleck durch gefälschte Regierungsanfragen: KYC- und Transaktionsdaten betroffen« bei Google Deutschland suchen, bei Bing oder Google News!