Die Neobank Revolut wurde vor Kurzem Ziel einer äußerst effektiven Social-Engineering-Attacke. Indem die Angreifer einen realen Zugang zum E-Mail-System einer Regierungsbehörde ausnutzten, tarnten sie eine betrügerische Anfrage als authentische behördliche Anordnung. Im Gegensatz zu klassischen Cyberangriffen wurde kein technisches Sicherheitsprotokoll umgangen: Die Filter SPF, DKIM und DMARC validierten die Kommunikation. Dadurch wurde die Wachsamkeit der Compliance-Teams getäuscht, die der Anfrage in gutem Glauben stattgaben.
Durch dieses Datenleck konnten die Angreifer vollständige Akten über eine Auswahl vermögender Kunden entwenden. Zu den gestohlenen Daten gehören Passkopien, Selfies zur Identitätsprüfung, Bankverbindungen (IBAN) sowie detaillierte Transaktionshistorien, die insbesondere Aktivitäten in Bitcoin umfassen. Während die Bank versichert, dass die Sicherheitssysteme und die Kundengelder nicht direkt gefährdet wurden, birgt die Offenlegung solch sensibler Informationen ein unmittelbares und dauerhaftes Risiko für die Betroffenen.
Das Ausmaß geht weit über einen einfachen Diebstahl personenbezogener Daten hinaus, da die Nutzer dadurch direkt physischen Bedrohungen ausgesetzt werden. Durch den Abgleich einer verifizierten Identität mit einem nachgewiesenen Krypto-Guthaben verfügen die Täter über ein ideales Profil für Erpressungen – ein besorgniserregender Trend, der in Frankreich zu einem deutlichen Anstieg von Entführungen im Zusammenhang mit digitalen Vermögenswerten geführt hat. Im Gegensatz zu einem Passwort können diese Identitätsdaten nicht zurückgesetzt werden, was die von diesem Leck betroffenen Personen dauerhaft belastet.
Dieser Vorfall unterstreicht eine schwerwiegende strukturelle Schwachstelle: Trotz der Robustheit von Blockchain-Infrastrukturen und digitalen Sicherheitsprotokollen bleibt der Mensch das schwächste Glied. In einer Branche, in der Know-Your-Customer-Verfahren (KYC) eine massive Datenerhebung vorschreiben, wird die Zentralisierung dieser Informationen zu einem begehrten Ziel. Für Experten bestätigt dieser Fall, dass Vorsicht nicht mehr nur technologischer Natur sein darf, sondern auf strengen verfahrenstechnischen Prüfungen beruhen muss – selbst bei Anfragen, die scheinbar von den legitimsten Behörden stammen.