Revolut vertraute einer echten Behörden-Domain

Die E-Mail stammte von einer echten Behörden-Domain und bestand die üblichen Prüfungen, mit denen sich Herkunft und Unversehrtheit einer Nachricht bestätigen lassen. Da der Absender Kundendaten anforderte, gab Revolut Ausweiskopien, Selfies, Kontoauszüge und Transaktionsverläufe heraus. Hinter der Anfrage stand jedoch ein Betrüger (TechCrunch).

Das Finanztechnologieunternehmen bestätigte den Vorfall am Samstag, nachdem betroffene Kunden ihre Benachrichtigungen öffentlich gemacht hatten. Auch der frühere Mt.-Gox-Vorstandschef Mark Karpelès veröffentlichte sein Schreiben und gab sich damit als Betroffener zu erkennen (The Block). Nach Angaben von Revolut verschaffte sich niemand unbefugten Zugang zur Bankplattform; auch seien keine Kundengelder entwendet worden. Das Unternehmen habe die Unterlagen vielmehr selbst übermittelt, weil die betrügerischen Anfragen von einem unbefugt eingerichteten Konto innerhalb der echten E-Mail-Infrastruktur einer nicht genannten Behörde gekommen seien (Security Affairs).

Der Poststempel war echt, der Absender nicht befugt

E-Mail-Anbieter prüfen im Hintergrund, ob der versendende Server vom Inhaber der Domain autorisiert wurde und ob die Nachricht auf dem Übertragungsweg unverändert geblieben ist. Das entspricht der Feststellung, dass ein Brief tatsächlich den Poststempel eines echten Behördenpostamts trägt.

Ein echter Poststempel belegt allerdings nicht, dass der Verfasser zu seiner Forderung berechtigt war. Aus der Kundenmitteilung von Revolut geht hervor, dass die gültige Domain-Authentifizierung ein wesentlicher Grund dafür war, die Anfrage als legitim einzustufen. Ob das Unternehmen vor der Datenfreigabe zusätzlich die Identität des Antragstellers und dessen Rechtsgrundlage geprüft hat, teilte es nicht mit (Security Affairs, CyberInsider).

Revolut gab die Informationen zunächst heraus und nahm erst danach unabhängig Kontakt mit der Behörde auf. Dabei stellte sich heraus, dass die Anfragen nicht autorisiert waren. Das Unternehmen sperrte daraufhin den Absender, verständigte die zuständigen Stellen und informierte die betroffenen Kunden (TechCrunch, Reuters/WHBL).

Wie das unbefugte Postfach entstehen konnte, ist weiter ungeklärt. Denkbar sind ein übernommenes bestehendes Konto, die Einrichtung eines neuen Kontos aufgrund administrativer Schwächen oder die Mitwirkung eines Insiders. Revolut nannte weder die Behörde und ihr Land noch die verwendete Domain oder den Angreifer (TechCrunch).

Welche Daten Revolut herausgab

Die Kundenmitteilung führt ein umfangreiches Datenpaket auf. Zu den Identitätsdaten gehörten Kopien von Reisepässen und Führerscheinen, das bei der Kontoeröffnung aufgenommene Selfie sowie vollständiger Name, Geburtsdatum und Beruf. Hinzu kamen Anschrift, E-Mail-Adresse und Telefonnummer sowie Kontoauszüge mit IBAN, Abhebungsdaten und der vollständige Transaktionsverlauf einschließlich Bitcoin-Transaktionen (TechCrunch, The Block).

Revolut unterscheidet dabei zwischen dem herausgegebenen Selfie und der mathematischen Vorlage, die ein Gesichtserkennungssystem daraus erzeugt; diese biometrische Repräsentation sei nicht weitergegeben worden. Ein Gesichtsbild bleibt dennoch sensibel, zumal es zusammen mit einer Passkopie für Identitätsbetrug eingesetzt werden könnte. Viele Identitätsprüfungen verlangen allerdings zusätzlich einen Lebenderkennungstest und weitere Nachweise.

Passwörter, Einmalcodes, Kartennummern, Authentifizierungs-Token und private Schlüssel für Kryptowerte gehörten nicht zu den offengelegten Datensätzen. Diese Informationen ermöglichen den direkten Kontozugriff. Die tatsächlich herausgegebenen Daten erhöhen jedoch die Glaubwürdigkeit gezielter Phishing-Versuche: Wer echte Transaktionen, Kontonummern und die korrekte Anschrift nennen kann, dürfte bei seinem Opfer weniger Misstrauen wecken als mit einer beliebigen Massenmail (NCSC data-breach guidance).

Revolut sprach lediglich von einer „begrenzten Zahl“ betroffener Kunden, ohne eine Gesamtzahl, eine Aufschlüsselung nach Ländern oder den Zeitraum des Vorfalls zu nennen. Belgische Medien berichteten unter Berufung auf nicht genannte Quellen auch von Opfern in Belgien; eine Bestätigung aus erster Hand liegt dafür bislang nicht vor (The Brussels Times).

Der entscheidende Fehler lag in der Verwechslung zweier verschiedener Prüfungen. Die Domain-Authentifizierung zeigt einer Bank, aus der Infrastruktur welcher Organisation eine E-Mail versandt wurde. Sie sagt nichts darüber aus, ob die Person hinter dem Postfach Kundendaten verlangen durfte. Wer bei behördlichen Auskunftsersuchen allein auf technische Domain-Prüfungen vertraut, bleibt deshalb für genau diese Art von Täuschung anfällig. Der Fall Revolut zeigt, dass Banken zusätzlich die Identität des Antragstellers und die Rechtsgrundlage jeder Anfrage unabhängig bestätigen müssen.