Vorfall bei Revolut: Offenlegung von Kundendaten
Revolut hat die Identitäten und Finanzunterlagen von Kunden, einschließlich Bitcoin-Transaktionshistorien, offengelegt, nachdem das Unternehmen auf eine betrügerische Anfrage reagiert hat, die angeblich von einer Regierungsbehörde stammte. Laut einer Mitteilung von Revolut, die der On-Chain-Ermittler ZachXBT auf Telegram geteilt hat, kam die Anfrage von einem unbefugten E-Mail-Konto, das eine offizielle Domain einer Regierungsbehörde verwendete.
Details zur Anfrage
Die Nachricht bestand die Authentifizierung der Domain, und Revolut gab an, dass es glaubte, die Anfrage sei echt, als es die Informationen bereitstellte. Die Mitteilung nennt die Behörde nicht und sagt nicht, wie der unbefugte Absender Zugang zu ihrer E-Mail-Domain erhalten hat. Sie gibt auch kein Datum für die Anfrage oder die Offenlegung an.
„Da die Kommunikation gültige Authentifizierungsdaten der Domain enthielt, wurde sie unter der vernünftigen Annahme erfüllt, dass es sich um eine authentische Anfrage einer Regierungsbehörde handelte“, heißt es in der Mitteilung.
Offenlegung von Kundendaten
Die Mitteilung besagt nicht, dass ein Eindringling in die Systeme von Revolut eingedrungen ist, auf Kundenkonten zugegriffen oder Gelder abgehoben hat. Sie identifiziert nicht die Person, die die Anfrage gesendet hat, oder ob die Behörde die Nutzung ihres E-Mail-Kontos untersucht hat. ZachXBT beschrieb den Vorfall als wahrscheinlich begrenzt und sagte, es scheine, dass er sich gegen wohlhabende Nutzer richtete.
Revolut listete die vollständigen Namen, Geburtsdaten und Berufe der Kunden unter den bereitgestellten Identitätsdetails auf. Zu den Kontaktdaten gehörten Postanschriften, E-Mail-Adressen und Telefonnummern. Die Anfrage führte auch zur Offenlegung von Kopien von Ausweisdokumenten, wie Reisepässen oder Führerscheinen, zusammen mit den Selfies, die die Kunden für Identitätsprüfungen bereitgestellt hatten.
Umfang der Offenlegung
Die Mitteilung listet Kategorien von Informationen auf, die möglicherweise offengelegt wurden; sie stellt jedoch nicht fest, dass jeder betroffene Kunde jede Art von Aufzeichnung im System hatte. Sie sagt auch nicht, dass Wallet-Private Keys, Kontopasswörter oder vollständige Zahlungsdaten enthalten waren. Bitcoin-Transaktionshistorien sind für Krypto-Nutzer besonders relevant, da die Mitteilung sie zusammen mit Namen und anderen Kontodaten in den Informationen an den unbefugten Anforderer platziert.
Revolut bedient weltweit mehr als 80 Millionen Kunden, laut einer Unternehmensankündigung im August. Diese Kundenzahl beschreibt die Größe des Unternehmens, nicht die Anzahl der von dieser Offenlegung betroffenen Personen.
Regulatorische Anforderungen und Sicherheitsrichtlinien
Das britische Informationskommissariat sagt, dass die möglichen Folgen eines Verstoßes gegen personenbezogene Daten Identitätsdiebstahl, Betrug und finanziellen Verlust umfassen. Die Richtlinien für Verstöße fordern eine Bewertung der betroffenen Informationen und der wahrscheinlichen Schäden für Einzelpersonen; sie stellt nicht fest, dass jemand in dem Revolut-Vorfall diese Ergebnisse erlitten hat.
Für einen Kunden, dessen Ausweisdokument und Transaktionsunterlagen beide offengelegt wurden, deutet die Mitteilung darauf hin, dass der Empfänger einen detaillierten Überblick über die Finanzen dieser Person hätte erhalten können. ZachXBTs Behauptung, dass wohlhabende Nutzer gezielt wurden, wurde von Revolut in dem gezeigten Material nicht bestätigt, und es sind keine nachfolgenden Missbräuche der Aufzeichnungen dokumentiert.
Die Richtlinien des Regulators besagen auch, dass Organisationen bestimmte Verstöße gegen personenbezogene Daten innerhalb von 72 Stunden nach Kenntnisnahme melden müssen, wo dies möglich ist, und Einzelpersonen ohne unangemessene Verzögerung benachrichtigen müssen, wenn das Risiko für ihre Rechte und Freiheiten hoch ist. Der Screenshot sagt nicht, ob Revolut einen Regulierer benachrichtigt hat oder wann das Unternehmen erstmals von der unbefugten Anfrage erfahren hat.
Revoluts Expansion und zukünftige Pläne
Der Vorfall ereignet sich während der Expansion von Revolut in seine Bank- und digitalen Vermögensdienstleistungen. Am 26. August begann das Unternehmen, seinen eurogestützten EURR-Stablecoin ausgewählten Kunden in Dänemark, Polen und Portugal anzubieten, mit weiteren europäischen Verfügbarkeiten, wie zuvor von crypto.news berichtet. Der Rollout des Stablecoins ist unabhängig von der Offenlegung der Kundenaufzeichnungen.
Die US-Pläne von Revolut bieten Kontext für amerikanische Leser, obwohl die Mitteilung keinen betroffenen Kunden in den Vereinigten Staaten identifiziert. Am 3. September erhielt das Unternehmen eine bedingte Genehmigung für eine US-Bank von der Office of the Comptroller of the Currency. Die vorgeschlagene Bank in Stamford, Connecticut, würde etwa 95 Millionen Dollar an Anfangskapital erhalten und könnte 2027 eröffnen, wenn sie die verbleibenden Genehmigungen erhält.
Derzeit bietet Revolut den US-Kunden Bankdienstleistungen über die Lead Bank an, laut dem früheren Bericht. Die vorgeschlagene nationale Bank benötigt noch eine Einlagensicherung von der Federal Deposit Insurance Corporation, die Genehmigung der Federal Reserve und die endgültige Genehmigung des OCC, bevor sie eröffnen kann.
