Revolut gibt Daten von fast 700 Kunden an Betrüger weiter

Fast 700 Kunden des britischen Fintech-Unternehmens Revolut sind Opfer eines schwerwiegenden Datenlecks geworden. Das Unternehmen gab versehentlich Reisepassdaten, Bankkontonummern und Wohnadressen an Kriminelle weiter, die sich als Regierungsbeamte ausgegeben hatten. Das berichtet die Financial Times unter Berufung auf mit der Angelegenheit vertraute Personen.

Die Zahlungsgruppe habe nach einer ersten Untersuchung 680 Personen kontaktiert, von denen sie annimmt, dass sie vom Betrug betroffen sind. Revolut verbrachte das vergangene Wochenende damit, schnell auf den Sicherheitsvorfall zu reagieren.

Hintergrund des Angriffs

Der Vorfall ereignete sich, nachdem ein Hacker eine echte Regierungs-E-Mail-Adresse erlangt und genutzt hatte, um eine betrügerische Anfrage nach privaten Informationen über mehrere Revolut-Kunden zu senden. Revolut kam der Anfrage nach und gab sensible Daten preis – darunter Adressen, Verifizierungsfotos, Personalausweise und Informationen über Bitcoin-Aktivitäten.

Die Hacker, die hinter dem Vorfall stecken sollen, drohen damit, die Informationen der Öffentlichkeit preiszugeben, es sei denn, Revolut zahlt ein Lösegeld. Am Montag erklärte die britische Datenschutzbehörde, die Information Commissioner's Office (ICO), dass sie den Vorfall untersucht. Revolut hatte sich zuvor selbst bei der Aufsichtsbehörde gemeldet.

Betroffen: Ex-Mt.-Gox-Chef Mark Karpelès

Zu den betroffenen Kunden gehört ausgerechnet Mark Karpelès, der ehemalige Chief Executive von Mt. Gox, einst die weltweit größte Bitcoin-Börse, die nach einem großen Hacking-Vorfall bankrottging. Karpelès sagte, er habe am 12. September um 5:25 Uhr eine E-Mail von Revolut erhalten, die ihn vor dem Betrug warnte.

„Ich dachte, es wäre ein Betrug… Anfangs fühlte ich Mitleid mit ihnen“, sagte er gegenüber der FT. Karpelès erklärte, er glaube, dass Revolut die Informationen überhaupt nicht hätte weitergeben dürfen – unabhängig davon, ob die E-Mail von einer verifizierten Regierungsadresse stammte.

Reaktion von Revolut

Ein Sprecher von Revolut sagte, man habe kürzlich einen „hochentwickelten externen Identitätsbetrug“ festgestellt, bei dem eine unbefugte dritte Partei eine legitime E-Mail-Adresse einer Regierungsagentur genutzt habe, um betrügerische Anfragen zu stellen. Das Unternehmen habe die Adresse sofort blockiert, nachdem es das Problem erkannt habe, und die Aufsichtsbehörden sowie die betroffenen Kunden benachrichtigt.

„Revolut-Systeme und Kundengelder sind unbeeinträchtigt“, fügte das Unternehmen hinzu. Zur genauen Anzahl der betroffenen Kunden wollte sich Revolut nicht äußern.

Wachsende Bedrohung durch Cyberkriminalität

Der Vorfall unterstreicht die zunehmende Bedrohung, die Cyberkriminelle für Unternehmen darstellen. Im vergangenen Jahr wurden die Betriebsabläufe von Unternehmen wie M&S und JLR durch Hacks erheblich gestört. Seit seiner Gründung im Jahr 2015 ist Revolut zum größten Fintech-Unternehmen Europas mit 80 Millionen Kunden in 30 Ländern geworden. Erst kürzlich wurde das Unternehmen bei einem sekundären Aktienverkauf auf 115 Milliarden US-Dollar bewertet.

Der Fall wirft grundlegende Fragen zur Sicherheitsarchitektur von Fintech-Unternehmen auf. Kritiker bemängeln, dass Revolut trotz seines rasanten Wachstums offenbar nicht über ausreichende Sicherheitsvorkehrungen verfügt, um sich gegen derartige Angriffe zu schützen. Die laufende Untersuchung der britischen Datenschutzbehörde wird zeigen, ob das Unternehmen mit Sanktionen rechnen muss.