Nach Datenklau fordern Cyberkriminelle drei Millionen Dollar von Revolut. Laut FT und manager magazin nutzten Betrüger gefälschte Behörden-Mails.
Bildnachweis:
Revolut
Ein schwerwiegender Zwischenfall im Umgang mit sensiblen Kontoinformationen bringt Europas führende Digitalbank Revolut in Bedrängnis: Cyberkriminelle haben das britische Fintech mit einer Lösegeldforderung über drei Millionen US-Dollar konfrontiert. Nach übereinstimmenden Berichten der "Financial Times" sowie des "manager magazins" droht ein Kollektiv mit dem Pseudonym "iamnotavillain" damit, die erbeuteten Finanz- und Identitätsdaten an Unterweltnetzwerke zu veräußern, sollte das geforderte Entgelt nicht binnen 24 Stunden beglichen werden.
Ausgangspunkt der Erpressung ist kein direkter Einbruch in die Kernbanksysteme, sondern ein monatelang vorbereitetes Täuschungsmanöver auf administrativer Ebene. Nach Recherchen der „FT“ kaperten die Angreifer ein offizielles Mail-System der italienischen Regierung, um sich als Strafverfolgungsbeamte zu tarnen. Unter dem Vorwand behördlicher Ermittlungen forderten sie von Revolut systematisch Auskunft über konkrete Kontoverbindungen an – und die Neobank lieferte das Material offenbar gutgläubig aus.
Betroffen sind nach Informationen des „manager magazins“ mindestens 680 Konten. Den Berichten zufolge gingen die Drahtzieher hochgradig selektiv vor: Über die systematische Auswertung öffentlich einsehbarer Blockchain-Transaktionsregister identifizierten sie im Vorfeld gezielt Revolut-Nutzer, die außergewöhnlich hohe Bestände an Kryptowährungen hielten. Durch dieses gezielte Vorgehen fielen den Erpressern vollständige Identitätsdokumente wie Reisepässe und Führerscheine sowie lückenlose Transaktionsübersichten vermögender Krypto-Investoren in die Hände. Als Echtheitsnachweis übermittelte die Gruppe der „FT“ einen Videomitschnitt, der das Navigieren durch die Originalakten zeigt.
Die Täter fordern eine Überweisung von 6.000 Einheiten der anonymitätsfokussierten Digitalwährung Monero (XMR), was einem Gegenwert von exakt drei Millionen Dollar entspricht. Durch den Einsatz dieses sogenannten Privacy-Coins wollen die Erpresser sicherstellen, dass die Zahlungsströme auch für spezialisierte Ermittler unnachziehbar bleiben. Sollte die Frist bis Donnerstagnachmittag verstreichen, drohen die Kriminellen auf ihrer eigens aufgesetzten Website mit der Versteigerung des Materials und nutzen dabei martialische Rhetorik.
Dieses öffentliche Vorpreschen bricht mit den gängigen Konventionen der organisierten Cyberkriminalität. In aller Regel suchen Erpresserbanden zunächst verdeckte Verhandlungskanäle über verschlüsselte Messenger, ehe sie gestohlene Daten auf Plattformen im Darknet publizieren. Das Vorgehen über eine reguläre Website und die proaktive Einbindung von Medienvertretern deuten auf ein unkonventionelles, hochriskantes Vorgehen der Hinterleute hin.
Revolut wies gegenüber den Medien zurück, in direktem Kontakt mit den Erpressern zu stehen oder Zahlungsaufforderungen erhalten zu haben. Gleichzeitig betonte das Institut, dass man den betroffenen Kunden sofortige Schutz- und Hilfsmaßnahmen zur Verfügung stelle und die Aufarbeitung eng mit Aufsichts- und Polizeibehörden koordiniere.
Der Reputationsschaden wiegt für das 2015 gegründete Fintech dennoch schwer. Mit einer Nutzerbasis von mehr als 80 Millionen Kunden weltweit und einer jüngsten Marktbewertung von 115 Milliarden Dollar befindet sich das Haus in einer sensiblen Transformationsphase hin zum vollregulierten Bankkonzern auf mehreren Kontinenten. Dass interne Prüfprozesse versagten und sensible Pass- und Vermögensdaten über gefälschte Behördenanfragen unbemerkt herausgegeben wurden, dürfte nicht zuletzt bei Finanzmarktaufsichtsbehörden für kritische Nachfragen sorgen und die Governance-Standards des Londoner Unternehmens auf den Prüfstand stellen.
