Revolut gibt Datenpanne zu: Betrüger nutzten echte Regierungs-E-Mail
Revolut confirms customer data breach through fake government requests
Revolut hat bestätigt, dass sensible Kundendaten durch gefälschte Anfragen von einer legitimen Regierungs-E-Mail-Domain an unbefugte Dritte gelangten. Betroffen sind Ausweisdokumente, Geburtsdaten, Adressen, Telefonnummern sowie möglicherweise Verifizierungs-Selfies und Transaktionsverläufe. Ein Sprecher sprach von einer „begrenzten“ Zahl betroffener Kunden, nannte aber keine genaue Zahl und machte keine Angaben zur beteiligten Behörde. Revolut blockierte die E-Mail-Adresse und informierte Behörden und Aufsichtsstellen. Die Systeme und Kundengelder seien nicht betroffen.
Revolut recently identified a sophisticated external impersonation scam where an unauthorised third party utilised a legitimate government agency domain email to submit fraudulent requests for information.
- neither_color
Ich hatte eine interessante Erfahrung mit meiner Revolut-Karte. Ich lade sie nur auf, wenn ich reise, und die restliche Zeit ist sie fast leer, mit etwa 3-4 $. Irgendwann begann ich, gelegentlich Benachrichtigungen über abgelehnte Transaktionen zu erhalten. Sachen wie Videospielpunkte und zufällige kleine Online-Shops. Offensichtlich wurde meine Karte geskimmt oder anderweitig irgendwie geleakt. Schade.
Da ich noch Monate von meiner nächsten Reise entfernt bin, habe ich die Karte nicht sofort gekündigt und sie aus Neugier einfach aktiv gelassen. Ich begann, jeden versuchten Händler zu blockieren. Irgendwann bekam ich Netflix-Abonnement-Versuche, und als ich versuchte, sie zu blockieren, hieß es: "Wir können Zahlungen an Netflix nicht blockieren. Wenn du ein Abonnement bei ihnen hast, kannst du es direkt kündigen." Das lässt mich fragen, was für eine Art Rube-Goldberg-Maschine ihr Backend betreibt.
- hndhyc0bdt
Ich habe eine Weile einen LE-Anfrage-Desk betrieben, und das Ganze bestand aus PDFs von .gov-ähnlichen E-Mail-Adressen. Die einzige echte Kontrolle, die wir hatten, war, die Behörde unter einer Nummer zurückzurufen, die wir selbst herausgesucht hatten, nicht unter der auf dem Briefkopf.
- rawland
Wie kann das einem modernen Fintech passieren ... Besonders die Identitätsverifizierung so schlecht zu handhaben?
> Ein Revolut-Sprecher bestätigte gegenüber TechCrunch, dass eine "begrenzte" Anzahl von Kunden betroffen war, und sagte, das Unternehmen habe diese Kunden direkt kontaktiert. Revolut gab jedoch nicht die genaue Anzahl der betroffenen Personen bekannt. Es beantwortete auch nicht, ob der Vorfall auf einen bestimmten Markt beschränkt war, und lehnte es ab, die beteiligte Regierungsbehörde zu nennen.
Geht es bei der mangelnden Transparenz hier um den Schutz der gedoxxten HNWIs oder versuchen sie einfach nur, die Inkompetenz zu verbergen?
- tdrz
Hier ist eine der Antworten, die ich während meiner Unterhaltung mit ihrem Agenten bekam (unsicher, ob Mensch oder automatisiert):
"Ihre persönlichen Daten müssen aufbewahrt werden, bis es nach dem Gesetz zulässig ist, sie zu löschen. Seien Sie versichert, sie sind völlig sicher und werden nur zu diesem Zweck aufbewahrt."
Das war in derselben Unterhaltung, in der ich ihnen den Artikel geschickt habe.
- codedokode
Dies ist eine Erinnerung daran, was mit Leuten passiert, die fröhlich ihren Pass und Selfies in die App hochladen. Macht das nicht, wenn ihr nicht in russischen Untergrundforen landen wollt.
- janandonly
Identifikationsdaten (wie ein gescannter Pass) zu speichern, ist nicht notwendig. Die Frage ist: "Hast du die Kundenidentität überprüft?" Und wenn die Antwort Ja lautet, dann kannst du es als solches markieren. Du musst diese Scans überhaupt nicht speichern.
- autotune
Ich habe vor einer Weile den Zugang zu meinem Revolut-Konto verloren, und die Wiederherstellung funktionierte nicht, nachdem ich den Zugang zu meiner primären E-Mail-Adresse und MFA verloren hatte. Sie haben auch die Möglichkeit entfernt, Schecks in ihrer mobilen App einzuzahlen. Aus diesen Gründen kann ich es nicht mehr wie eine echte Bank behandeln, so sehr ich ihren 4% APY-Sparzins auch liebe. Anders als Gmail, das Wiederherstellungsoptionen mit einer sekundären E-Mail-Adresse hatte. Sie hätten etwas Ähnliches implementieren können.
- hrpnk
Selbst wenn der Auslöser gespooft war, wie kommt es, dass es keinen sicheren Kanal gibt, den die Regierung bereitstellt, um die Daten zu empfangen? Wurde dieser auch kompromittiert?