Hacker erbeuten Revolut-Kundendaten über italienisches Regierungs-Mail-System

Hacker, die für den jüngsten Datendiebstahl bei der Online-Bank Revolut verantwortlich sein sollen, haben nach eigenen Angaben vertrauliche Kundeninformationen erlangt, indem sie ein italienisches Regierungs-E-Mail-System kompromittierten. Über mehrere Monate hinweg täuschten sie sich als Strafverfolgungsbehörden und forderten von Revolut die Herausgabe sensibler Daten.

Die Vorfälle, die die Financial Times (FT) auf Basis von Nachrichten der Hacker-Gruppe recherchierte, betreffen fast 700 Revolut-Kunden. Das Ausmaß des Datenlecks geht damit weit über das hinaus, was die Zahlungsgruppe am vergangenen Freitag erstmals eingeräumt hatte.

Hacker gaben sich als italienische Polizei aus

In über Telegram gesendeten Nachrichten gab ein Hacker oder eine Gruppe unter dem Pseudonym iamnotavillain an, Revolut vor „ein paar Monaten“ kontaktiert zu haben – und zwar in der Rolle einer italienischen Strafverfolgungsbehörde. In den folgenden Wochen forderte die Gruppe wiederholt vertrauliche Kontodaten bestimmter Kunden, darunter Adressen, Telefonnummern und Transaktionshistorien. Die Begründung: Die Informationen seien für laufende strafverfolgende Aktivitäten notwendig.

„Revolut hat sich wie ein ‚braver Junge‘ benommen“, zitiert die FT die mutmaßlichen Hacker. Die Gruppe richtete am späten Montagabend eine Website ein, auf der redigierte Screenshots einiger angeblich von der Bank erlangter Informationen veröffentlicht wurden. Die FT erhielt zudem weitere Screenshots, darunter Bilder von E-Mails, die den Austausch mit Revolut unter dem Deckmantel italienischer Behörden zeigen sollen.

Staatliches E-Mail-System als Einfallstor

Die Nachrichten scheinen zu belegen, dass Revolut Kundenkontoinformationen an eine Abteilung des italienischen Innenministeriums über das staatliche E-Mail-System La Posta Elettronica Certificata (PEC) weitergegeben hat. Eine mit der Angelegenheit vertraute Person bestätigte der FT, dass die Anfragen über das italienische PEC-System eingingen und der E-Mail-Austausch über mehrere Monate andauerte.

PEC ist ein sicheres Netzwerk, das von einer Regierungsagentur überwacht wird. Italienische Behörden, Unternehmen und Privatbürger nutzen es für offizielle oder rechtliche Korrespondenz – es gilt als digitales Äquivalent zur Einschreiben-Post. Die italienische Postpolizei, Staatspolizei, das Innenministerium und die nationale Cybersecurity-Agentur lehnten eine Stellungnahme ab, obwohl Beamte bestätigten, dass Ermittlungen laufen.

Krypto-Wale als gezielte Angriffsziele

Die Anfragen der Hacker nach Kundeninformationen waren offenbar nicht willkürlich. Die Gruppe teilte der FT mit, sie habe die 680 Ziele durch Blockchain-Analysen identifiziert. Dabei suchten sie gezielt nach Revolut-Konten mit erheblichen Krypto-Beständen. „Ich möchte meinen genauen Weg dorthin nicht offenlegen, aber es erfolgte über Onchain-Analyse“, sagte iamnotavillain und beschrieb die Ziele als „Krypto-Wale“.

Die meisten der betroffenen 680 Kunden stammen aus der Schweiz und Frankreich. Revolut habe jedoch auch Daten von Bewohnern aus 31 weiteren, hauptsächlich europäischen Ländern herausgegeben, darunter Großbritannien, Deutschland und Spanien.

Ermittlungen laufen – Revolut weist Vorwürfe zurück

Die Identität und Motivation der Täter bleibt unklar. Üblicherweise fordern Hacker ein Lösegeld im Austausch für die Rückgabe oder Zerstörung gestohlener Daten. Eine mit der Situation vertraute Person sagte jedoch, Revolut sei nicht von den Tätern kontaktiert worden und habe bislang keine Lösegeldforderung erhalten.

Giulia Pastorella, Abgeordnete der italienischen Oppositionspartei Azione, hat vom Innenministerium sofortige Aufklärung gefordert. Sie bezeichnete den gemeldeten Sicherheitsvorfall eines PEC-E-Mail-Kontos des Ministeriums als „auf einem unvorstellbaren Niveau alarmierend“ und kündigte an, das Thema im Parlament anzusprechen. „Wir könnten nur die Spitze des Eisbergs sehen“, schrieb Pastorella in einem Social-Media-Beitrag. „Wie viele andere E-Mails wurden von diesem staatlichen PEC gesendet? Wie viele andere Unternehmen sind diesem Betrug zum Opfer gefallen?“

Revolut erklärte, die eigenen Systeme und Datenbanken seien vollständig sicher und nicht kompromittiert worden. „Dieser Vorfall beinhaltete den betrügerischen Missbrauch eines offiziellen, staatlich regulierten Kommunikationskanals, um legitime Behördenanfragen zu imitieren“, hieß es in einer Stellungnahme des Unternehmens.