Fintechbedrijf Revolut heeft een datalek bekendgemaakt waarbij persoonlijke gegevens van een onbekend aantal klanten zijn gedeeld met een bedreiger die zich voordeed als een overheidsinstantie. Revolut, actief in meer dan 160 landen en met meer dan 80 miljoen klanten wereldwijd, waaronder 800.000 zakelijke klanten, ontdekte dat de aanvaller via een e-mailverzoek met een officieel ogend overheidsdomein om klantgegevens vroeg.

Volgens de communicatie naar getroffen klanten toe, kwam het verzoek van een onbevoegd e-mailadres dat echter het domein van de betreffende overheidsinstantie gebruikte. Omdat de e-mail voldeed aan de geldige domeinauthenticatie, werd het verzoek afgehandeld in de veronderstelling dat het authentiek was. De gelekte data omvatten onder andere volledige naam, geboortedatum, beroep, contactgegevens zoals postadres, e-mailadres en telefoonnummer, evenals kopieën van identiteitsdocumenten (paspoort en/of rijbewijs) en gezichtsverificatiebeelden die zijn gebruikt voor Know Your Client-controles bij het openen van een account.

Daarnaast zijn ook bankafschriften, inclusief IBAN-nummers, opnamegegevens en volledige transactiegeschiedenis, waaronder Bitcoin-transacties, blootgesteld. Revolut gaf aan dat het datalek slechts een "zeer beperkt" aantal klanten treft, maar deelt geen exacte aantallen. Het bedrijf benadrukt dat de systemen en klanttegoeden niet zijn aangetast. Na ontdekking werd het e-mailadres direct geblokkeerd en zijn relevante overheidsinstanties, handhavingsinstanties, privacytoezichthouders en financiële toezichthouders geïnformeerd, aldus een woordvoerder.

Crypto-fraudeonderzoeker ZachXBT meldde over het weekend dat het lek waarschijnlijk gericht was op klanten met een hoog vermogen. Vier jaar geleden maakte Revolut ook al een datalek bekend waarbij de persoonlijke, contact- en financiële gegevens van ruim 50.000 klanten werden gestolen. Meer details over het recente incident zijn nog niet verstrekt door Revolut. Voor achtergrondinformatie over het datalek verwijst het bedrijf naar Reuters.