LONDON (IT BOLTWISE) – Revolut hat nach einer gefälschten E-Mail, die eine Behörde imitierte, Passkopien, Adressen und vollständige Bitcoin-Transaktionsverläufe von Kunden offengelegt. Die interne Verifizierung akzeptierte dabei offenbar die Authentifizierung, weil die Nachricht von einer realen Behörden-Domain mit gültigen Zugangsdaten kam. Das Unternehmen benachrichtigte betroffene Nutzer, meldete den Vorfall an Strafverfolgungsbehörden und teilt mit, dass Kundengelder nicht kompromittiert wurden. Unklar bleibt, welche Behörde beteiligt war und wie groß der Kreis der Betroffenen ist.
Revolut steht wegen eines Vorfalls unter erhöhter Beobachtung, der weniger nach einem klassischen Datenleck mit kompromittierten Systemen aussieht, sondern nach einem Fehler im Prozess der Datenausleitung. Laut den Angaben, die das Unternehmen in Kundenhinweisen zusammenfasste, wurden Reisepassscans, Wohn- und Kontaktadressen sowie vollständige Bitcoin-Transaktionsverläufe von einer nicht näher genannten Zahl an Kundendaten ausgelöst, nachdem eine Betrugsanfrage über einen offiziellen, angeblich zuständigen Behördenweg erfolgreich durch interne Sicherheitschecks gelaufen war.
Der entscheidende Punkt liegt dabei in der Art, wie die Anfrage gestellt wurde. Die E-Mail stammte aus einer echten Domain der betroffenen Behörde und enthielt laut einer technischen Auswertung auch Authentifizierungsmerkmale, die Revoluts Prüfmechanismen akzeptierten. Dadurch erfüllte die Nachricht den internen „reasonable belief“-Maßstab: Das Team ging zunächst davon aus, dass die Anfrage von einer legitimen Stelle kommt. Die Entdeckung der Fehlzuordnung erfolgte offenbar erst, nachdem Revolut die Behörde unabhängig kontaktiert hat und dabei herausfand, dass die ursprüngliche Anfrage nicht autorisiert war.
Für die Sicherheitslage bedeutet das: Es handelte sich nach Darstellung der Beteiligten nicht um einen erfolgreichen Systemangriff, bei dem Angreifer auf Revoluts Infrastruktur zugreifen, Datenbanken hacken oder Wallets leeren. Auch Hinweise auf kompromittierte Zugriffswege wie gestohlene private Schlüssel oder vollständige Karteninformationen tauchen in den von Revolut gemeldeten Kategorien nicht auf. Stattdessen beschreibt der Fall einen prozeduralen Bruch: Jemand mit ausreichenden Möglichkeiten, von der tatsächlichen Behördeninfrastruktur aus zu senden, schickte eine Datenanfrage, die die Identitäts- und Berechtigungsprüfung fälschlich „grün“ beantwortete.
Welche Datensätze betroffen waren, zeigt sich in den Kategorien, die Revolut in den Benachrichtigungen aufführte. Neben Identitäts- und Kontaktdaten wie Telefonnummern, E-Mail-Adressen, Postanschriften, vollständigen Namen, Geburtsdaten und Angaben zur Beschäftigung wurden auch Verifikationsmaterialien genannt. Dazu zählen Kopien von Ausweisdokumenten wie Reisepässen oder Führerscheinen einschließlich der Selfie-Bilder, die Kunden im Rahmen der Identitätsprüfung einreichen. Auf der Finanzseite umfasst die Auflistung IBANs, Kontoauszüge, Auszahlungen/withdrawal records, Kontoeröffnungsdaten sowie vollständige Transaktionshistorien; ausdrücklich erwähnt werden zudem Bitcoin-Wallet-Referenznummern und zugehörige Bitcoin-Transaktionen. Biometrische Gesichtsdaten in Form von Facial-Telemetry und Kontopasswörter sollen hingegen nicht Teil der offengelegten Kategorien gewesen sein.
Revolut ordnet den Vorfall außerdem im rechtlichen Kontext ein: Da persönliche Daten unter falschen Voraussetzungen das Unternehmen verlassen haben, fällt er in den Anwendungsbereich der Datenschutz-Grundverordnung (GDPR). Das Unternehmen erklärt, die Quelle der Anfrage blockiert zu haben und dass Kundengelder weiterhin sicher seien. Für die operative Risikobetrachtung ist das allerdings nur die halbe Miete: Selbst wenn kein „Abfluss“ im Sinne von Geldtransfers erfolgte, bleibt die potenzielle Folgewirkung für die Betroffenen hoch, etwa wegen der Kombination aus Identitätsdaten und vollständigen Zahlungs- bzw. Transaktionsverläufen, die in der Praxis für gezielte Social-Engineering-Angriffe oder sekundäre Betrugsversuche besonders wertvoll sein können.
Dass solche Vorfälle nicht zwingend durch „Hacking“ entstehen, ist zugleich eine Lehre für die gesamte Branche. Angreifer – oder im weiteren Sinne missbräuchliche Antragsteller – können Sicherheitsbarrieren auch dann umgehen, wenn sie nicht in Systeme eindringen müssen, sondern über legitime Kommunikationswege und scheinbar stimmige Authentifizierung die Freigabeprozedur beeinflussen. In den Netzdebatten tauchte der Hinweis zunächst öffentlich über den On-Chain-Investigator ZachXBT auf; dabei heißt es, der Vorfall wirke eher begrenzt in der Größenordnung und scheine auf Nutzer mit höherem Vermögen ausgerichtet zu sein. Unabhängig von der tatsächlichen Zielmenge bleibt für Compliance- und Security-Teams die zentrale Frage: Wie lässt sich die Vertrauensannahme in Behördenanfragen so absichern, dass ein einzelner „Pass“ in der Authentifizierung nicht genügt, um sensible Daten abzugeben?
Technisch und organisatorisch wird sich diese Frage an konkreten Punkten entscheiden: etwa an der Trennung von Authentifizierung und Autorisierung, an der Notwendigkeit zusätzlicher, unabhängig verifizierbarer Nachweise oder an einer strengeren Kette der Freigaben bei besonders sensiblen Datentypen. Darüber hinaus zeigt der Fall, wie schnell Datenabfluss- und Missbrauchsszenarien entstehen können, selbst wenn die Wallet-Sicherheit intakt bleibt. Revolut hat laut den Angaben betroffene Kunden informiert und die Strafverfolgung sowie Aufsichts- und Regulierungspartner eingebunden; gleichzeitig bleibt offen, wann die Anfrage eintraf, über welche internen Kanäle sie geprüft wurde und welche Behörde genau beteiligt war. Für die nächsten Schritte wird entscheidend sein, ob das Unternehmen die Prozesslücke transparent genug beschreibt, um ähnliche Muster bei anderen Finanzdienstleistern zu verhindern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Revolut: Gefälschte Behördenanfrage legt Reisepass- und Bitcoin-Daten offen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Revolut: Gefälschte Behördenanfrage legt Reisepass- und Bitcoin-Daten offen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Revolut: Gefälschte Behördenanfrage legt Reisepass- und Bitcoin-Daten offen« bei Google Deutschland suchen, bei Bing oder Google News!