Revolut gab Reisepässe und Selfies an jemanden heraus, der sich als Behörde ausgab

Revolut wurde nicht gehackt. Genau das macht diesen Fall lesenswert.

Am Montag bestätigte die Bank, dass jemand sie per E-Mail um Kundendaten gebeten hatte und sich dabei als Behörde ausgab, und dass sie die Daten herausgab. Die Anfrage kam von einer echten Behördendomain und bestand die Prüfungen, die belegen sollen, dass eine E-Mail das ist, was sie vorgibt zu sein, also behandelten die Mitarbeiter sie als Routinevorgang. Was hinausging, war keine Liste von E-Mail-Adressen. Es waren Scans von Reisepässen und Führerscheinen, die Selfies, die man bei der Kontoverifizierung aufnimmt, Geburtsdaten, Wohnanschriften, Berufe, Telefonnummern, Kontoauszüge mit IBAN, Auszahlungsdaten und vollständige Transaktionsverläufe einschließlich Krypto.

Revolut erklärt, nur "eine begrenzte Zahl" von Kunden sei betroffen, die eigenen Systeme seien nie angetastet worden und es sei kein Geld bewegt worden. Die Adresse wurde nach der Entdeckung sofort gesperrt, die betroffene Behörde, Strafverfolgungsbehörden, Datenschutz und Finanzaufsicht wurden informiert. Die Leute mit den Daten geben sich zurückhaltender nicht. Sie haben Stichproben in Telegram-Gruppen veröffentlicht und fordern 10.000 Bitcoin, rund 780 Millionen Dollar, mit der Drohung, täglich mehr zu veröffentlichen, bis Revolut zahlt. Der Krypto-Ermittler ZachXBT vermutet, dass es vor allem auf vermögende Kontoinhaber abgesehen war.

Der Teil, der alle anderen betrifft: Ein Passscan samt passendem Selfie ist genau das Paket, das man braucht, um Konten auf Ihren Namen zu eröffnen oder einen Support-Mitarbeiter zu einem Zurücksetzen zu überreden. Und wer Sie jetzt anruft und behauptet, von Revolut zu sein, kann Ihnen Ihre letzten Buchungen vorlesen, und genau das lässt einen gefälschten Anruf der Betrugsabteilung funktionieren. Keine Bank wird Sie anrufen und bitten, Geld auf ein "sicheres Konto" zu überweisen: auflegen und den Chat in der App nutzen. Die Datenschutz- und Kontoprüfung von Tendvane geht die Anmelde- und Wiederherstellungseinstellungen Ihres PCs durch, also die andere Tür, an der diese Leute als Nächstes rütteln.