Het domein was echt. De bevoegdheid erachter niet
Revolut bevestigde op 12 september dat het klantgegevens had vrijgegeven na wat het bedrijf omschreef als "een geraffineerde externe impersonatiefraude", waarbij een aanvaller het eigen e-maildomein van een echte overheidsinstantie gebruikte om frauduleuze verzoeken in te dienen. Volgens de verklaring van Revolut bevatte het verzoek gegevens die de eigen controles van het bedrijf doorstonden, en heeft het bedrijf het adres inmiddels geblokkeerd en opsporingsdiensten en toezichthouders gewaarschuwd. Het bedrijf heeft niet bekendgemaakt van welke instantie het domein was, en heeft niet gezegd of het domein zelf was gecompromitteerd of dat de aanvaller een andere manier vond om er vanaf te versturen.
Op een punt liet Revolut geen twijfel bestaan: "Revolut-systemen en klantengelden zijn niet geraakt." Dit was geen inbraak in de infrastructuur van Revolut. Het was het eigen proces van Revolut voor het afhandelen van officiële verzoeken, dat precies werkte zoals het is ontworpen, tegen een verzoek dat er precies zo uitzag als de verzoeken die dat proces juist hoort te honoreren.
Wat Revoluts systemen daadwerkelijk verlieten
De blootgestelde bestanden gingen, volgens berichtgeving die na de bekendmaking is bekeken, ver voorbij een naam en een adres.
| Categorie | Wat werd blootgesteld |
|---|---|
| Identiteitsdocumenten | Paspoorten of rijbewijzen, plus verificatieselfies |
| Persoonlijke gegevens | Namen, geboortedata, beroepen, huisadressen, e-mailadressen, telefoonnummers |
| Financiële gegevens | IBAN's, rekeningoverzichten, opnamegegevens |
| Transactiegeschiedenis | Volledige transactiegeschiedenissen, inclusief bitcoinactiviteit |
Revolut heeft gezegd dat het aantal getroffen klanten "beperkt" is, zonder een cijfer te noemen, en ook onafhankelijke berichtgeving heeft geen aantal kunnen bevestigen. Het meesturen van volledige crypto-transactiegeschiedenissen is van belang voorbij de directe privacyschending: het geeft wie deze gegevens in handen heeft een kant-en-klare lijst van welke klanten daadwerkelijk digitale activa aanhouden en verplaatsen, precies de doelinformatie die een vervolgfraude nodig zou hebben.
Dit is een mislukte verificatie van de aanvrager, geen hack
Het patroon is niet nieuw, alleen het doelwit is anders. Business email compromise-fraude verleidt al jaren financiële afdelingen om geld over te maken naar een nepleverancier, door het domein van een echte tegenpartij te spoofen of te kapen, en de verdediging die elk financieel team leert is altijd hetzelfde: een echt domein maakt het verzoek erachter nog niet echt, dus verifieer via een ander kanaal voordat er iets wordt verplaatst. Het datalek bij Revolut is precies datzelfde falen, maar dan aan de kant van data in plaats van geld. Een domein dat daadwerkelijk aan een overheidsinstantie toebehoorde, was genoeg om klantbestanden vrij te geven, omdat niets in het proces een tweede, onafhankelijke controle afdwong van de persoon of het kantoor dat het verzoek daadwerkelijk indiende.
Dat is het ongemakkelijke gegeven waar elk gereguleerd bedrijf mee moet leven: het domein was niet vals. Alles waar een gewone controle op inbox-niveau naar zou kijken, was aanwezig en klopte. Alleen een terugbelverificatie naar een bevestigd contact, met een nummer of adres dat onafhankelijk van de e-mail zelf is verkregen, had dit kunnen opvangen.
Wat elk gereguleerd bedrijf nu moet controleren
Elk bedrijf in de EU of het VK dat officiële dataverzoeken per e-mail ontvangt en inwilligt, niet alleen banken en fintechs, loopt hetzelfde risico waarvan Revolut zojuist heeft aangetoond dat het te misbruiken is. Domeinauthenticatie, SPF, DKIM, een correct ogend handtekeningblok, bevestigt alleen waar een e-mail vandaan kwam. Niets daarvan bevestigt dat de afzender daadwerkelijk de bevoegdheid heeft die hij claimt, en die twee dingen als hetzelfde behandelen is precies het gat waar dit datalek doorheen ging.
De praktische oplossing is geen nieuwe beveiligingssoftware. Het is een vastgelegde regel dat elk verzoek om klantgegevens, hoe officieel het er ook uitziet, een terugbelverificatie krijgt bij een contact dat onafhankelijk van de e-mail zelf is verkregen, dezelfde norm die financiële teams al wordt geleerd toe te passen voordat geld wordt verplaatst. Onder de AVG (GDPR) en, waar van toepassing, DORA, is die verificatiestap ook het verschil tussen een gedocumenteerd, verdedigbaar proces en een meldingsrapport dat stelt dat het verzoek "er legitiem uitzag".
Lees hierna: Franse belastingdienst is vrijgesteld van zijn eigen AVG-boetes | Jouw Rijbewijsfoto Lag Een Jaar Op Hun Server
