Revolut bevestigt datalek: klantgegevens gelekt via vervalst overheidsverzoek

Fintechbedrijf Revolut heeft bevestigd dat het klantgegevens heeft afgegeven aan een onbevoegde partij die zich voordeed als een overheidsinstantie. Dat meldt TechCrunch op basis van een reactie van Revolut zelf. Het verzoek kwam binnen vanaf een account dat toegang had tot het echte maildomein van een overheidsdienst en daardoor de gebruikelijke domeincontroles doorstond. Revolut dacht met een rechtmatig verzoek te maken te hebben en verstrekte de gevraagde gegevens.

Geen hack, wel een datalek

Belangrijk verschil met de meeste datalekken: de systemen van Revolut zijn niet gehackt. Er is niet ingebroken op servers en het geld en de inloggegevens van klanten zijn niet geraakt, benadrukt het bedrijf. De gegevens zijn simpelweg overhandigd door medewerkers die dachten een officiële juridische vordering te beantwoorden. Meerdere bronnen, waaronder Cryptotimes en 24/7 Wall St., bevestigen dat het ging om een account dat opereerde binnen de echte domeininfrastructuur van een overheidsinstantie en dus geldige authenticatiegegevens meestuurde.

Welke gegevens zijn gelekt

Volgens de berichtgeving gaat het om volledige namen, geboortedata, adressen en telefoonnummers, kopieën van identiteitsdocumenten zoals paspoorten en rijbewijzen, IBAN's, data waarop rekeningen zijn geopend, en transactiegeschiedenis inclusief bitcoin-gerelateerde gegevens zoals wallet-referenties en opnamehistorie. Meerdere bronnen melden dat ook verificatieselfies zijn meegestuurd. Revolut zegt daarbij dat biometrische gezichtsherkenningsdata geen deel uitmaakte van de verstrekte informatie, wat een ander soort gegeven is dan een gewone verificatiefoto.

Vermoedelijk gericht op vermogende klanten

Cryptoanalist ZachXBT bracht de zaak vrijdag naar buiten met een bericht over de e-mail die Revolut naar getroffen klanten stuurde. Hij vermoedt dat de aanval gericht was op klanten met een hoog vermogen. Een woordvoerder van Revolut bevestigt dat het om een "beperkt" aantal klanten gaat, zonder een exact getal te noemen, en zegt dat de betrokken klanten rechtstreeks zijn geïnformeerd.

Wat Revolut nu doet

Revolut zegt het gebruikte mailadres inmiddels binnen alle eigen systemen te hebben geblokkeerd, toezichthouders te hebben ingelicht en extra beschermingsmaatregelen te hebben getroffen voor de klanten van wie gegevens zijn gedeeld. Het bedrijf heeft ook de overheidsinstantie zelf gewaarschuwd dat er een onbevoegd account binnen haar domein actief was.

Wat dit betekent voor jouw bedrijf

Dit datalek is geen typisch verhaal over een gehackte server, maar over een proces dat faalde. Iedereen die weleens een verzoek van een opsporingsdienst, deurwaarder of toezichthouder krijgt om klantgegevens af te staan, kan hetzelfde overkomen. Een vervalst verzoek dat vanaf een echt overheidsdomein wordt verstuurd, doorstaat technische controles zoals SPF en DKIM gewoon, omdat die alleen checken of een mail van het opgegeven domein komt, niet of de afzender daar ook echt bevoegd toe is.

Werk je met gevoelige klantgegevens, zoals kopieën van identiteitsbewijzen of financiële data, zorg dan voor een vast protocol voor het afhandelen van officiële verzoeken. Bel het instituut dat het verzoek zou hebben gestuurd terug via een telefoonnummer dat je zelf hebt opgezocht, niet via contactgegevens uit de mail zelf. Leg vast wie binnen je bedrijf zulke verzoeken mag beoordelen en goedkeuren, en bewaar identiteitsdocumenten van klanten niet langer dan nodig. Hoe minder gevoelige data je vasthoudt, hoe kleiner de schade als er toch iets misgaat.

Wil je laten controleren of jouw bedrijf veilig omgaat met klantgegevens en verzoeken van derden, dan denkt de dienst website-onderhoud van Infotrends daar graag in mee. Meer nieuws over datalekken en digitale veiligheid lees je op onze nieuwspagina.

Bronnen: TechCrunch, Cryptotimes en 24/7 Wall St..