Revolut deelde klantdata met kwaadwillende via overheidsdomein

Revolut heeft klantgegevens verstrekt aan een kwaadwillende die zich voordeed als een overheidsinstantie. De aanvaller gebruikte daarvoor een e-mailadres op een echt overheidsdomein, dat alle standaard authenticatiecontroles doorstond. Getroffen klanten zijn afgelopen vrijdag ingelicht. De gelekte informatie omvat onder meer paspoorthopies, verificatieselfies en de volledige Bitcoin transactiegeschiedenis van de betrokken gebruikers.

In het kort:

• Revolut verstrekte klantdata aan een kwaadwillende die e-mails verstuurde via een legitiem overheidsdomein.
• De gelekte gegevens omvatten identiteitsdocumenten, contactgegevens, rekeningafschriften en transactiegeschiedenissen inclusief Bitcoin.
• Revolut heeft het betrokken e-mailadres geblokkeerd en toezichthouders op de hoogte gesteld.

Aanvaller gebruikte echt overheidsdomein

De aanvaller stuurde een officieel ogende informatieverzoek via een e-mailadres dat daadwerkelijk op het domein van een overheidsinstantie was aangemaakt. Omdat de e-mail alle domeinauthenticatiecontroles doorstond, behandelde Revolut het verzoek als rechtmatig en verstrekte de gevraagde gegevens.

Pas later concludeerde het bedrijf dat het verzoek niet authentiek was. Revolut heeft de betrokken instantie gewaarschuwd voor het onbevoegde e-mailadres op haar domein en het adres vervolgens geblokkeerd. Toezichthouders zijn inmiddels ook ingelicht. Hoe de aanvaller toegang kreeg tot een mailbox op het overheidsdomein, heeft Revolut niet toegelicht.

Wat er precies is vrijgegeven

Volgens de melding die getroffen klanten ontvingen, kunnen de volgende gegevens zijn vrijgegeven: volledige naam, geboortedatum en beroep, maar ook woonadres, e-mailadres en telefoonnummer. Daarnaast gaat het om kopieën van identiteitsdocumenten zoals een paspoort of rijbewijs en de selfie die klanten bij de verificatie hebben ingediend. Biometrische gezichtsdata zijn volgens Revolut niet betrokken bij het incident.

Ook financiële informatie is gedeeld, waaronder rekeningafschriften met IBAN en rekeningopening, opnamepogingen en de volledige transactiegeschiedenis, inclusief Bitcoin transacties. Hoeveel klanten zijn getroffen, heeft Revolut niet bekendgemaakt. Ook de naam van de betrokken overheidsinstantie noemt het bedrijf niet.

Incident lijkt gericht op vermogende gebruikers

Onderzoeker ZachXBT, die de klantmeldingen deelde, denkt dat het incident beperkt van omvang is en gericht was op vermogende gebruikers. Het gaat daarmee vermoedelijk om een gerichte aanval en niet om een brede datalek waarbij grote aantallen klanten willekeurig zijn getroffen.

Voor klanten die ook Bitcoin via Revolut beheren, is de situatie extra gevoelig. Een volledige transactiegeschiedenis biedt een aanvaller gedetailleerd inzicht in bestedingspatronen en het mogelijke vermogen van een gebruiker. In een periode waarin Bitcoin rond de $77.000 handelt, kan die informatie voor kwaadwillenden bijzonder waardevol zijn.