Die Domain war echt. Die Befugnis dahinter war es nicht.
Revolut bestätigte am 12. September, dass Kundendaten offengelegt wurden, nachdem das Unternehmen Opfer eines von ihm selbst als "ausgeklügelter externer Identitätsbetrug" bezeichneten Angriffs geworden war, bei dem ein Angreifer die echte E-Mail-Domain einer Behörde nutzte, um betrügerische Anfragen einzureichen. Laut Revoluts Erklärung enthielt die Anfrage Zugangsdaten, die die eigenen Prüfungen des Unternehmens bestanden, und die Adresse wurde inzwischen gesperrt, Strafverfolgungsbehörden und Aufsichtsbehörden wurden informiert. Das Unternehmen hat nicht genannt, welche Behörde betroffen war, und auch nicht mitgeteilt, ob die Domain selbst kompromittiert wurde oder der Angreifer einen anderen Weg fand, von ihr aus zu versenden.
In einem Punkt war Revolut eindeutig: "Revoluts Systeme und Kundengelder sind nicht betroffen." Es handelte sich nicht um ein Eindringen in Revoluts Infrastruktur, sondern um Revoluts eigenen Prozess zur Bearbeitung offizieller Anfragen, der genau wie vorgesehen funktionierte, gegen eine Anfrage, die genau so aussah wie jene, die er eigentlich erfüllen soll.
Was Revoluts Systeme tatsächlich verlassen hat
Die offengelegten Dateien gingen laut Berichten, die nach der Offenlegung ausgewertet wurden, weit über einen Namen und eine Adresse hinaus.
| Kategorie | Was offengelegt wurde |
|---|---|
| Ausweisdokumente | Pässe oder Führerscheine sowie Verifizierungs-Selfies |
| Persönliche Angaben | Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen, Telefonnummern |
| Finanzunterlagen | IBANs, Kontoauszüge, Abhebungsnachweise |
| Transaktionshistorie | Vollständige Transaktionshistorien, einschließlich Bitcoin-Aktivitäten |
Revolut hat erklärt, die Zahl der betroffenen Kunden sei "begrenzt", ohne eine konkrete Angabe zu machen, und auch unabhängige Berichte konnten bislang keine Zahl bestätigen. Dass vollständige Krypto-Transaktionshistorien enthalten sind, wiegt über den unmittelbaren Datenschutzverstoß hinaus schwer: Wer diese Daten besitzt, erhält damit eine fertige Liste, welche Kunden tatsächlich digitale Vermögenswerte halten und bewegen, genau die Zielinformationen, die ein Anschlussbetrug benötigen würde.
Das ist ein Versagen der Verifizierung, kein Hack
Das Muster ist nicht neu, nur das Ziel ist es. Business-E-Mail-Compromise-Betrug bringt seit Jahren Finanzabteilungen dazu, Geld an einen gefälschten Lieferanten zu überweisen, indem die Domain eines echten Geschäftspartners gefälscht oder übernommen wird, und die Verteidigung, die jedem Finanzteam beigebracht wird, ist immer dieselbe: Eine echte Domain macht die dahinterstehende Anfrage nicht automatisch echt, deshalb muss vor jeder Bewegung über einen unabhängigen Kanal verifiziert werden. Revoluts Datenpanne ist genau dasselbe Versagen, nur auf der Datenseite statt auf der Geldseite. Eine Domain, die tatsächlich einer Behörde gehörte, reichte aus, um die Freigabe von Kundendateien auszulösen, weil nichts im Prozess eine zweite, unabhängige Prüfung der Person oder Stelle erzwang, die die Anfrage stellte.
Das ist der unbequeme Teil, mit dem jedes regulierte Unternehmen leben muss: Die Domain war nicht gefälscht. Alles, wonach eine gewöhnliche Prüfung auf E-Mail-Ebene gesucht hätte, war vorhanden und korrekt. Nur ein Rückruf bei einem verifizierten Kontakt, über eine Nummer oder Adresse, die unabhängig von der E-Mail selbst beschafft wurde, hätte den Betrug erkannt.
Was jedes regulierte Unternehmen jetzt prüfen sollte
Jedes Unternehmen in der EU oder im UK, das behördliche Datenanfragen per E-Mail entgegennimmt und erfüllt, nicht nur Banken und Fintechs, trägt dieselbe Angriffsfläche, deren Ausnutzbarkeit Revolut soeben demonstriert hat. Domain-Authentifizierung, SPF, DKIM, ein korrekt aussehender Signaturblock, all das bestätigt nur, woher eine E-Mail kam. Nichts davon bestätigt, dass die absendende Person tatsächlich die behauptete Befugnis besitzt, und genau die Gleichsetzung beider Dinge ist die Lücke, durch die diese Datenpanne ging.
Die praktische Lösung ist keine neue Sicherheitssoftware. Es ist eine schriftliche Regel, dass jede Anfrage nach Kundendaten, wie offiziell sie auch wirkt, per Rückruf gegen einen unabhängig von der E-Mail selbst beschafften Kontakt verifiziert wird, derselbe Standard, den Finanzteams bereits vor jeder Geldbewegung anwenden müssen. Nach der DSGVO und, wo anwendbar, DORA ist dieser Verifizierungsschritt zudem der Unterschied zwischen einem dokumentierten, verteidigungsfähigen Prozess und einem Vorfallsbericht, der nur sagt, die Anfrage habe "legitim gewirkt".
Weiterlesen: Frankreichs Fiskus ist von seinen eigenen DSGVO-Bußgeldern befreit | Dein Führerscheinfoto Lag Ein Jahr Auf Ihrem Server
