Revolut bestreitet Kontakt zu Hackern im Zusammenhang mit einer angeblichen Lösegeldforderung in Höhe von 3 Millionen Dollar

Keine direkten Forderungen eingegangen, so Revolut

Revolut teilte mit, dass es keine direkten Kontaktaufnahmen oder Forderungen von einer Gruppe erhalten habe, die die Verantwortung für einen kürzlich erfolgten Datenverstoß übernommen habe. Die Dementierung des Fintech-Unternehmens erfolgte weniger als 24 Stunden nach Berichten, wonach Hacker 6.000 XMR im Wert von 3 Millionen US-Dollar gefordert hätten, um die illegal abgegriffenen Kundendateien vom Markt fernzuhalten.

Das in London ansässige Fintech-Unternehmen bestätigte Anfang dieses Monats, dass ein unbefugter Dritter sensible Informationen einer begrenzten Anzahl von Kunden erlangt habe, indem er die E-Mail-Domain einer legitimen Regierungsbehörde nutzte, um betrügerische Datenanfragen zu stellen. In öffentlichen Erklärungen, die diese Woche von einem unter dem Namen „IAmNotAVillain“ agierenden Hacker online veröffentlicht wurden, wurde damit gedroht, Kundendaten zu veröffentlichen oder zu verkaufen, sofern Revolut nicht zahle.

„Revolut hat keinerlei direkten Kontakt zu den Personen oder der Gruppe, die diese Behauptungen aufstellen, erhalten und auch keine Forderungen von ihnen“, wird ein Unternehmenssprecher zitiert. Der Vorfall, der Berichten zufolge etwa 680 vermögende Kunden in ganz Europa betraf, beinhaltete keinen direkten technischen Eingriff in die Kernsysteme von Revolut.

Stattdessen nutzten die Angreifer über mehrere Monate hinweg Social Engineering, um sich als Regierungsbehörden auszugeben, und verschafften sich so Zugang zu Kundenverifizierungsdateien, Ausweisdokumenten und Transaktionsaufzeichnungen. Revolut betonte, dass die Kundengelder und internen Systeme weiterhin sicher und unbeeinträchtigt seien. Das Unternehmen gab an, die betrügerische E-Mail-Adresse nach Entdeckung des Vorfalls gesperrt und den Vorfall den Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichtsbehörden gemeldet zu haben.

Analyst warnt vor KYC-Schwachstellen

Der Vorfall verdeutlicht weitreichendere systemische Schwachstellen im Umgang von Finanzinstituten mit vorgeschriebenen Identitätsdaten. Jonathan Riss, Analyst für Open-Source- und Blockchain-Intelligence beim Sicherheitsunternehmen Certik, argumentierte, dass die eigentliche Ursache über die Abwehrmaßnahmen einzelner Unternehmen hinausgeht und bei den regulatorischen Anforderungen selbst liegt.

„Das eigentliche Problem ist, dass KYC eine äußerst sensible Identitätsschicht geschaffen hat, die Finanzplattformen aufrechterhalten müssen – oft, weil Regierungen und Aufsichtsbehörden immer detailliertere Kundeninformationen verlangen“, so Riss. „Die Verantwortung liegt daher nicht allein bei Banken, Fintech-Unternehmen oder Kryptowährungsbörsen.“

Laut Riss müssen auch Behörden prüfen, ob jede von ihnen angeforderte Information wirklich notwendig ist und wie lange sie aufbewahrt werden sollte. Sie sollten untersuchen, ob bestehende Verfahren zur Anforderung von Kundendaten ausreichend sicher sind.

Riss wies unterdessen darauf hin, dass die Offenlegung detaillierter Identitätsdaten im Bereich der digitalen Vermögenswerte erhöhte Risiken in der realen Welt mit sich bringen kann. „Plattformen sollten die Aufbewahrungsdauer weiterhin minimieren, den Zugriff einschränken und die Authentifizierung von Anfragen von Regierungs- und Strafverfolgungsbehörden durch unabhängige Verifizierungskanäle verstärken“, fügte Riss hinzu.

Während die Debatte über die Taktiken der Hacker weitergehen wird, ist Riss der Ansicht, dass der Vorfall die Branche und die Regulierungsbehörden dazu veranlassen sollte, das derzeitige Modell zu überdenken. Das Ziel sollte sich nicht mehr nur auf den Schutz von Wallets und Geldern beschränken, sondern auch den Schutz der finanziellen Identitäten der Nutzer umfassen.