Social Engineering Datenleck bei Revolut: Betrüger erbeuten Daten von 700 Kunden

Gefälschte Domain reichte für Betrug

Cyberkriminelle haben sich bei der Neobank Revolut als Behörde ausgegeben und auf diesem Weg private Daten von Kundinnen und Kunden erhalten. Als Absender diente eine gefälschte Behörden-E-Mail-Adresse. Das Fintech übermittelte die angeforderten Daten und steht dafür in der Kritik.

Weil die Mail von einer verifizierten Regierungsdomain kam, durchlief sie diesen Pflichtprozess wie ein echtes Ersuchen. Um welche Behörde es sich handelte, ist bislang nicht bekannt.

Aufgefallen sein soll der Betrug erst, als die Bank später bei der Behörde nachfragte. Das Unternehmen sprach zunächst von einer begrenzten Zahl Betroffener, Recherchen kommen auf mindestens rund 700 Fälle, darunter eine niedrige zweistellige Zahl in Deutschland. Die Betroffenen wurden direkt kontaktiert.

Ausweiskopie, Geburtsdatum, Bitcoin-Aktivität: Diese Daten wurden weitergegeben

Herausgegeben wurden Identitäts- und Kontaktdaten wie Geburtsdatum, Post- und E-Mail-Adresse und Telefonnummer sowie Kontonummern und Transaktionsdaten einschließlich Bitcoin-Aktivitäten. Dazu kamen Kopien von Reisepässen und Führerscheinen und Verifizierungsfotos.

Nach der Entdeckung sperrte Revolut die betreffende Adresse und informierte die zuständige Regierungsbehörde sowie Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden. Die britische Datenschutzaufsicht ICO untersucht den Vorfall seit Anfang der Woche. Zurückholen lassen sich die Daten dadurch nicht.

Die mutmaßlichen Täter drohen inzwischen damit, das Material zu veröffentlichen, sollte kein Lösegeld fließen. In einer Telegram-Gruppe kursieren bereits angebliche Ausweisdokumente und Selfies Betroffener, verifiziert ist das bislang nicht. Einzelne Betroffene berichten, dass die Erpresser sie direkt kontaktiert haben.

Unsere Partner-Empfehlungen

Beim Kontovergleich zählt jetzt auch, wie der Anbieter Anfragen prüft

Wer ein Geschäftskonto eröffnet, hinterlegt für die Identitätsprüfung genau diese Unterlagen: Ausweisdokumente der Geschäftsführung, Verifizierungsfotos, Adress- und Kontodaten.

Unter den Betroffenen des Vorfalls ist auch ein deutscher Digitalunternehmer. Der Auskunftskanal, über den die Daten abflossen, lässt sich vom Kontoinhaber nicht abschalten, weil er gesetzlich vorgesehen ist.

Steuern lässt sich damit nur die Wahl des Anbieters. Verglichen werden bei Geschäftskonten bislang Kontoführungsgebühren, Kartenkonditionen, Unterkonten und Buchhaltungsschnittstellen.

Der Fall liefert ein weiteres Kriterium: wie ein Anbieter Auskunftsersuchen verifiziert, bevor er Daten herausgibt.

Abfragen lässt sich vor der Kontoeröffnung, ob behördliche Anfragen über einen zweiten Kanal gegengeprüft werden und ob der Anbieter über eine Herausgabe informiert. Bei Revolut brachte genau eine solche Rückfrage den Betrug ans Licht, allerdings erst im Nachhinein. Eine schriftliche Antwort auf diese Frage gehört deshalb neben die Preisliste.

Identitätsdaten lassen sich nicht zurückrufen, Abläufe schon

Wer in dieser Sache angeschrieben wurde, sollte jede weitere Kontaktaufnahme zum Vorfall als möglichen Folgeangriff behandeln und ausschließlich über die Revolut-App oder den offiziellen Support gegenprüfen. Nummern und Links aus der Nachricht selbst bleiben außen vor. Der Vorfall gehört dokumentiert, eine Anzeige bei der Polizei schafft die Grundlage für spätere Streitfälle.

Bei Pass oder Führerschein hilft mittelfristig nur eine Neuausstellung, weil damit die abgeflossene Dokumentennummer wertlos wird. Adresse, Geburtsdatum und Transaktionshistorie lassen sich dagegen nicht austauschen. Wer geschäftlich mit Konten und Verträgen zu tun hat, sollte deshalb Bonitätsauskünfte und Kontobewegungen in den nächsten Monaten enger takten als sonst.

Wer nicht betroffen ist, verschafft sich am besten zuerst einen Überblick, wo Ausweiskopien und Verifizierungsfotos überhaupt liegen: Kontoanbieter, Zahlungsdienstleister, Plattformen, Vermieter. Alles, was nicht zwingend hinterlegt sein muss, kann weg, und neue Uploads gehören auf das gesetzlich Nötige begrenzt.

Der zweite Hebel ist eine Regel, die auch dann greift, wenn eine Anfrage überzeugend aussieht: Zahlungen und Datenherausgaben nur nach Vier-Augen-Prinzip und Rückruf über eine selbst herausgesuchte Nummer. Der Revolut-Fall zeigt, dass ein echter Absender kein Beweis ist, sondern nur der Anfang der Prüfung.

Auch spannend:

• Spritpreise: Merz kündigt Entlastung an
• EZB-Zinsentscheid: Leitzins steigt auf 2,5 %
• PPWR: Bundesregierung fordert Entlastung für kleine Händler