Revolut-Datenleck: Hacker nutzen echte Behörden-Domain für Diebstahl

[Mornsgrans]

So kann man auch Daten klauen - einfach als Behörde "getarnt":

Revolut-Datenleck: Hacker nutzen echte Behörden-Domain für Diebstahl

Ein raffinierter Betrug trifft die Neobank Revolut: Über eine verifizierte Regierungs-Domain erbeuteten Hacker sensible Kundendaten und erpressen nun Opfer.

www.heise.de

Finanzinstitute sind gesetzlich dazu verpflichtet, offiziellen Anfragen von Strafverfolgungs- oder Regierungsbehörden nachzukommen. Da die Mail in diesem Fall von einer verifizierten Regierungsdomain kam, bearbeitete Revolut die Anfragen entsprechend und gab die geforderten Daten weiter.

Erst durch eine spätere Nachfrage der Bank bei der Behörde soll der Betrug aufgefallen sein.

Frei nach dem Motto: Du brauchst nicht in das System einbrechen, die Bankmitarbeiter helfen Dir freiwillig beim Datendiebstahl. Du brauchst nur eine legitime E-Mail-Domain einer Regierungsbehörde, um an die Daten zu gelangen.

An Daten wurden weitergegeben:

Zu den herausgegebenen Daten gehörten Identitäts- und Kontaktdaten wie etwa das Geburtsdatum, Post- und E-Mail-Adresse, Telefonnummern sowie Transaktionsdaten einschließlich Bitcoin-Transaktionen. Außerdem wurden Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen weitergegeben.

Die Daten sollen bereits zu Erpressungsversuchen genutzt werden.

Wenn andere Banken auch so "kooperativ" sind, kommt wohl noch einiges auf uns zu.

 

[linrunner]

Darüber, wie die Echtheit der Mail - also nicht nur die Domain - verifiziert worden sein soll, schweigt sich der Artikel aus. Es könnte ja auch auf Seiten der Behörde ein Schlüssel kompromittiert worden sein, um eine echte Mail vorzutäuschen.

Deutsche ISPs z.B. weisen gerne darauf hin, wieviele Behördenanfragen per unverschlüsselter Mail sie nicht bearbeiten, da Verschlüsselung verpflichtend ist.

 

[mcb]

Revolut ist auch so ne Bude...

 

[Schwartz]

Hoffentlich dient es als Abschreckungfall dass andere Läden auf ihre Praktiken achten.

 

[Philipp_B]

Revolut ist auch so ne Bude...

Daher macht Mario Götze damit Werbung

 

[cuco]

Ich habe (wegen Freifunk) schon öfter Mails von der Polizei bekommen. LKA, ZKA, PD... Einmal auch mal vorher schon per Telefon angekündigt, der Rest ohne Vorankündigung. Verschlüsselt war davon keine einzige. Signiert auch nicht. Die kamen einfach immer von der Domain der Polizei (vorname.nachname@polizei.niedersachsen.de). Weitere Validierung war daher schwer möglich. Da Freifunk keine Daten sammelt, konnten wir auch nie welche rausgeben. Aber ansonsten hätte es wohl (fast) keine Möglichkeit gegeben, die Echtheit zu prüfen, sofern die Mail tatsächlich von der Domain kam (nicht nur ein schlecht gemachter Alias - sowas hätte man dann doch erkannt).

 

[Mornsgrans]

Darüber, wie die Echtheit der Mail - also nicht nur die Domain - verifiziert worden sein soll, schweigt sich der Artikel aus.

Vielleicht möchte man Nachahmern keine Steilvorlage liefern.

Die kamen einfach immer von der Domain der Polizei (vorname.nachname@polizei.niedersachsen.de). Weitere Validierung war daher schwer möglich.

So wird es wohl aich bei der Bank gewesen sein.

Signiert auch nicht.

Hätte im obigen Fall vermutlich auch nicht funktioniert, wenn der Serverr automatisch ausgehende Mails signiert. Wenn man an einen Mailaccount auf der Maildomain gelangen kann, muss man eher die Sicherheitsprotokolle der Behörde prüfen. Auch hier schweigt sich der Artikel aus naheliegenden Gründen aus.

Das generelle Problem bei derartigen Mails ist, dass man anhand des Mail-Headers prüfen kann, ob die Absenderangabe plausibel ist. Die einzelnen Mailkonten der Absender kann man nicht verifizieren.

 

[Dabaqolof]

Kann man überprüfen bzw. nachschauen, ob man von diesem Datenleck betroffen ist?

 

[thom53281]

Mich erinnert das irgendwie an die Geschichten wo das Internet noch in den Kinderschuhen war und sich Leute Domains sicherten, bevor es die offiziellen Stellen taten. Da gab es dann Leute mit einer E-Mail xxx@thepentagon.com oder xxx@verteidigungsministerium.de, bis sich dann später die ersten drüber aufgeregt haben.

 

[verschenk_nix]

Hoffentlich dient es als Abschreckungfall dass andere Läden auf ihre Praktiken achten.

Hoffentlich dient es als Abschreckungfall dass andere Läden auf ihre PraktikANTen achten.

Habe mir erlaubt, weil es - einfach perfekt - passte, darauf hinzuweisen, an welcher Stelle in meiner beruflichen Vergangenheit mehrfach Sicherheitsrisiken entstanden.

Nicht, um hier klugzusch****** sondern um vor unvorhersehbaren Datenlecks durch Unwissenheit zu warnen, falls warum auch immer Berufsneulinge Zugang zu Maschinen erhalten, an denen sie nichts - aber auch gar nichts zu suchen haben.

 

[hostdreamer]

Da gab es doch kürzlich ein Beitrag über Datenklau in Berlin, sowie Hacker veröffentlichen Daten.... daraufhin habe ich alle meine Email-Adressen gecheckt, und siehe da, das lag schon mehrere Jahre zurück, wo ich bei einem deutschen Nutrition-Onlinehändler regelmässig Ware bestellte, ausgerechnet war meine selten genutzte Email-Adresse für meine Paypal Transfers mit dabei. Ich bekam den dringenden Rat nicht auf irgendwelche Infos oder Aufforderungen einzugehen oder irgendetwas anzuklicken, sondern sofort löschen.

Nachtrag:
Ich habe an Paypal diese Email weitergeleitet

 

[Spread]

Bei dem Hack wurden offenbar gezielt vermögende Personen ins Visier genommen.

Auch deutsche Kunden von Datenabfluss betroffen​

Das IT-System von Revolut und auch Kundengelder sind von der Hacker-Attacke aber nicht betroffen, betont das Fintech. Nach der Entdeckung hat Revolut die betreffende Adresse zwar umgehend gesperrt und den Vorfall an die zuständigen Regierungsstellen und Strafverfolgungsbehörden gemeldet. Doch zu diesem Zeitpunkt hatten die Angreifer offenbar schon einige Daten erhalten.


Betroffen sind wohl einige hundert Kundinnen und Kunden, eine kleine Zahl auch in Deutschland; sie wurden von Revolut direkt kontaktiert. Zu den herausgegebenen Daten gehörten Identitäts- und Kontaktdaten wie etwa das Geburtsdatum, Post- und E-Mail-Adresse, Telefonnummern sowie Transaktionsdaten einschließlich Bitcoin-Transaktionen. Außerdem wurden Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen weitergegeben.

Erpressungsversuch auf Telegram​

Der Krypto-Sicherheitsforscher ZachXBT berichtete laut Techcrunch bereits am Abend des 11. September 2026 über die E-Mail von Revolut an die betroffenen Kundinnen und Kunden. Er vermutete, dass vor allem vermögende Einzelpersonen Ziel der Attacke sind.


Mittlerweile haben die Hacker offenbar einen Erpressungsversuch gestartet und nach Angaben des Analysedienstes International Cyber Digest unter anderem Ausweisdokumente und Selfies des Tennisspielers Alexander Shevchenko sowie von Felix Römer, CEO des Online-Krypto-Casinos Gamdom, in einer Telegram-Gruppe veröffentlicht.

 

[albert66]

Etwas harmloser, aber gerade aktuell:

Es gibt immer noch "Banken", die EMail mit Anklick-Aufforderung schicken. Aktuell unser Kreditkartenbetreiber (per Zahlungsdienstleister mit Banklizenz) zur Online-Vertragsbestätigung. Im weiteren Verlauf (nach "normalem" Login, EMail-klicks mache ich grundsätzlich nicht) habe ich dann die elektronische Unterschrift verweigert (wäre auch noch kostenpflichtig via Dritt-Firma). Nach elendig langer Suche ein "Ich möchte den Postweg benutzen"-Klick gefunden und benutzt. Bin mal neugierig. "Brief in den nächsten Tagen" kam als Antwort auf dem Schirm.

Die EMail hatte ich analysiert, Klick wäre vermutlich ok gelaufen. Aber Unterschrift (Id) bei wildfremder dritter Adresse......nogo.

In einem anderen Fall wäre eine ähnliche Bestätigung an die fragende (renommierte) Firma in DE gegangen, aber im Header war eine fremde Domain (innerhalb EU). Ich habe per normaler EMail mit Vorbehalt bestätigt und gefragt, warum (und ob überhaupt von ihnen) eine fremde Domain in der Mail verwendet wird. Man hat sich entschuldigt. Hintergrund war ein Mailserverwechsel der Firma. Wegen Abo kommt die Bestätigungsanfrage jährlich, vermutlich in 8-10 Wochen wieder. Schau'n wir mal ....

 

[StefanW.]

In einem anderen Fall wäre eine ähnliche Bestätigung an die fragende (renommierte) Firma in DE gegangen, aber im Header war eine fremde Domain (innerhalb EU).

Das mit der fremden Domain machen neben renommierten Firmen auch Banken - z.B. für Gewinnspiele. Für das Marketing ist es einfacher, eine Domain zu registrieren und darüber das Gewinnspiel ablaufen zu lassen, statt die IT-Leitung oder sonstwen von einer Subdomain zur eigentlichen Bankendomain zu überzeugen. Ich hatte deswegen mal eine hardcore-Diskussion mit einer Bank: Auf der einen Seite verweigern sie Schadensausgleich an Kunden, die kleine Fehler machen und auf der anderen Seite sollen die Kunden dann bei fremden Domains oder regelmässig wechselndem Aussehen der Banking-Homepage mitspielen. Bei mir ging es nicht um verlorenes Geld. Es ging um Senioren in der Familie, die mit den Relaunches im gefühlten Zweijahresrhythmus sehr gefordert waren. Wie soll ich denen beibringen, dass sie misstrauisch sein sollen?

 

[verschenk_nix]

Ich wurde schon vor mehreren Jahrzehnten immer wieder als "verwirrt" oder "hast Paranoia" bezeichnet, als ich durchblicken ließ, niemals Onlinedienste dieser Art zu nutzen. Dazu kam dann noch der subtile Druck seitens der Sparkassen, als auf einmal Überweisungen auf die herkömmliche Art mittels papierenem Überweisungsträger Geld kosteten.

Dergleichen in Geschäften mit diesem lästigen "Haben Sie die Firlefanz-Karte" - "Sie verschenken bares Geld" - dann auch noch Bargeld statt EC-Karte - und dann dem ungläubigen Blick der anderen hinter mir in der Warteschlange, wenn sie meinen typischen Kommentar dazu hören.

Jawoll, ich hab einen Knall - und lebe innerlich in der Steinzeit. Aber genau deshalb kann ich grundsätzlich alle Mails dieser Art ungelesen und grinsend in die Tonne klopfen. Wer was in Geldangelegenheiten von mir will, soll einen Brief schicken - zumindest solange bis wirklich zuverlässig sichere digitale Kommunikation erfunden wurde. Und mit diesen Zwei-Faktor-Authentifizierungs-Bimbam können sie von mir aus die Hasen füttern.

Nicht weil es bei mir geldtechnisch etwas zu holen gäbe, sondern aus Prinzip. Eben deshalb, weil ich einen Knall habe und in Geldangelegenheiten innerlich in der Steinzeit lebe. - Jawoll.

 

[Mornsgrans]

Wer was in Geldangelegenheiten von mir will, soll einen Brief schicken

Auch hier gibt es inzwischen Kriminelle, die auf gefälschtem Geschäftspapier etwas von einem wollen. - Die beste Angelegenheit ist immer noch Auge in Auge in einer der immer weniger werdenden Filialen.

P.S.: Es gibt tatsächlich ein deutschlandweit vertretenes Geldinstitut, das auf seinen roten Aufklebern am Schaufenster damit wirbt, eine von 15.000 Filialen in Deutschland zu sein, obwohl seit 2020 über 2000 Filialen geschlossen wurden

 

[verschenk_nix]

Auch hier gibt es inzwischen Kriminelle, die auf gefälschtem Geschäftspapier etwas von einem wollen. - Die beste Angelegenheit ist immer noch Auge in Auge in einer der immer weniger werdenden Filialen.

Sehr berechtigte Warnung. Recht hast Du !!! Genau deshalb schlürfe ich auch grundsätzlich persönlich zur Sparkasse, wenn etwas im Briefkasten liegt, was über die übliche Info-Brief hinausgeht und möglicherweise eine Reaktion meinerseits erfordern könnte.

Aber vielleicht hängt dieses Verhalten ja auch mit meinem jahrzehnte alten Aluhut zusammen... *kicher*

P.S.: Es gibt tatsächlich ein deutschlandweit vertretenes Geldinstitut, das auf seinen roten Aufklebern am Schaufenster damit wirbt, eine von 15.000 Filialen in Deutschland zu sein, obwohl seit 2020 über 2000 Filialen geschlossen wurden

Ganze Regionen sind mittlerweile vom Zugang zu Sparkassen und Banken abgeschnitten. Gerade für Ältere und Gehbehinderte auf dem Land eine mittelprächtige Katastrophe.

 

[Spread]

Wer nicht mit der Zeit geht, der geht.

Nur weil ich per Email mit Spam zugeschütet werde, werde ich trotzdem lieber per Onlinebanking überweisen und im Laden mit Karte zahlen.
Die Zusatzkosten von Bargeld und Menschen in Filialen möchte ich nicht bezahlen.
Der komfortgewinn ist einfach zu groß.
Wer hat schon Lust jeden Tag zu einer Bank zu fahren/laufen?
Nein, den Monatslohn in Bar mit rumschläppen will auch niemand.
Bezahlt mal Miete, Strom, Wasser, Steuern usw. in Bar.
Da werdet ihr nicht sehr weit kommen.

Beim Wechselgeld betrogen werden oder per gefälschtem Brief, ist für mich höher als bei einer Onlineüberweisung.

 

[verschenk_nix]

Wer nicht mit der Zeit geht, der geht.

Bääääää... - Der war aber jetzt wirklich böse.

Nur weil ich per Email mit Spam zugeschütet werde, werde ich trotzdem lieber per Onlinebanking überweisen und im Laden mit Karte zahlen.

Deine Entscheidung.

Die Zusatzkosten von Bargeld und Menschen in Filialen möchte ich nicht bezahlen.

Und ich möchte im Falle eines Falles mit Menschen reden - nicht mit einem KI-Hotline-Bot.

Der komfortgewinn ist einfach zu groß.

Wie sagte doch der Konto-Hacker zum Guthaben...? - Komm, fort.

Wer hat schon Lust jeden Tag zu einer Bank zu fahren/laufen?

Nennt sich Daily-Driver. Es steht Dir ja frei, für die täglichen Klimperbeträge ein separates Online-Konto zu betreiben, dessen Totalverlust keine Katastrophe wäre.

Nein, den Monatslohn in Bar mit rumschläppen will auch niemand.
Bezahlt mal Miete, Strom, Wasser, Steuern usw. in Bar.

Dafür gibt es den DA

Da werdet ihr nicht sehr weit kommen.

Ich bin auf diese Weise bisher mein gesamtes Leben lang ganz gut zurecht gekommen.

Beim Wechselgeld betrogen werden oder per gefälschtem Brief, ist für mich höher als bei einer Onlineüberweisung.

Betrug hat es immer schon gegeben - Aber zusätzlich die anonym digitalen Selbstbedienungsläden für Kriminelle muß ich nicht noch zusätzlich haben.

 

[Spread]

Ich bin auf diese Weise bisher mein gesamtes Leben lang ganz gut zurecht gekommen.

Deine Entscheidung.

Na dann hoffe ich für dich, dass du nie auf der Straße ausgeraubt wirst, dein Portemonnaie nie verlierst, das dir niemand Falschgeld andreht.
Beim DA kann dir auch Geld unrechtmäßig entwendet werden.

Dafür alle Onlinebezahldienste unter Generalverdacht zu stellen, dass man dort immer betrogen/beraubt wird, ist leider aber auch falsch.

Ich habe verstanden, dass du wie mein Opa tickst und gerne mit der Dame am Schalter flirtest, bevor dir so ein seelenloser Geldautomat mit einer 4 stelligen Pin (Die man sich merken muss) Geld gibt.