Revolut gibt Kundendaten an Betrüger weiter – mit authentifizierter Regierungs-E-Mail

Betrügerische Regierungsanfragen

Das britische Finanztechnologieunternehmen Revolut bestätigte am 12. September 2026, dass sensible Kundendaten im Rahmen eines Identitätstäuschungsbetrugs an einen unbefugten Dritten weitergegeben wurden. Die Angreifer reichten betrügerische Informationsanfragen unter Verwendung einer echten E-Mail-Domain einer legitimen Regierungsbehörde ein. Die Nachrichten trugen eine gültige technische Domain-Authentifizierung, sodass die Mitarbeiter des Unternehmens die Anfragen als rechtmäßige gesetzliche Offenlegungsanordnungen behandelten und die angeforderten Dateien übermittelten.

Ein Unternehmenssprecher erläuterte die Art des Angriffs:

Revolut hat kürzlich einen ausgeklügelten externen Identitätstäuschungsbetrug identifiziert, bei dem ein unbefugter Dritter eine legitime E-Mail-Domain einer Regierungsbehörde nutzte, um betrügerische Informationsanfragen einzureichen.

Umfang und kompromittierte Daten

Die kompromittierten Daten umfassten Kundenidentitäts- und Kontaktinformationen, einschließlich vollständiger Namen, Geburtsdaten, Postanschriften, E-Mail-Adressen und Telefonnummern. Die übermittelten Pakete enthielten auch Kopien offizieller Ausweisdokumente wie Führerscheine und Reisepässe. Betroffene Kunden erhielten Benachrichtigungs-E-Mails, die darauf hinwiesen, dass bei dem Vorfall möglicherweise auch Kontoauszüge, Verifizierungs-Selfies, Transaktionshistorien und internationale Bankkontonummern offengelegt wurden.

Der unabhängige Kryptowährungsermittler ZachXBT berichtete am Freitagabend, dass der Betrug offenbar speziell auf vermögende Privatpersonen mit Konten bei der Digitalbank abzielte. Revolut erklärte, dass eine begrenzte Anzahl von Kunden betroffen sei und alle Betroffenen direkt kontaktiert wurden. Unter Berufung auf laufende Ermittlungen und Vertraulichkeitsanforderungen lehnte das Unternehmen es ab, die genaue Anzahl der betroffenen Nutzer, die Identität der vorgetäuschten Regierungsbehörde oder die beteiligten nationalen Rechtsordnungen zu nennen.

Eindämmung und behördliche Meldungen

Revolut erkannte die betrügerische Natur der Anfrage erst, nachdem es Beamte der zuständigen Behörde kontaktiert hatte; daraufhin blockierten interne Sicherheitsteams die Adresse des Absenders. Das in London ansässige Unternehmen betonte, dass seine Kernbankeninfrastruktur, Verwaltungssysteme und Kundenguthaben während des gesamten Sicherheitsvorfalls unberührt blieben.

Ein Unternehmenssprecher skizzierte die anschließenden Offenlegungen gegenüber staatlichen Behörden:

Sobald wir den Vorfall entdeckten, blockierten wir sofort die Adresse und alarmierten die zuständige Regierungsbehörde sowie Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichtsbehörden.

Marktposition und Expansion

Revolut wurde 2015 als filialloser digitaler Kreditgeber gegründet und unterhält einen globalen Kundenstamm von über 80 Millionen Nutzern in mehr als 30 Ländern. Frankreich macht etwa 10 % der Gesamtnutzer aus, während Rumänien zwischen 4,5 und 5 Millionen Kunden zählt und damit nach dem Vereinigten Königreich und Frankreich den drittgrößten Markt der Bank bildet. Das Unternehmen hat seine Geschäftstätigkeit auf Indien, Mexiko und die Vereinigten Arabischen Emirate ausgeweitet.

Anfang September 2026 erteilte das Office of the Comptroller of the Currency der Vereinigten Staaten die bedingte Genehmigung für Revolut zur Gründung einer Nationalbank, wobei der operative Start in der ersten Hälfte des Jahres 2027 erwartet wird. Der Vorfall ereignete sich, während das Unternehmen einen möglichen Börsengang mit einer angestrebten Bewertung von 200 Milliarden US-Dollar prüfte, verglichen mit seiner privaten Bewertung von 75 Milliarden US-Dollar im November.