// HEISE ONLINE — MONDO
Revolut-Datenleck: Hacker nutzen echte Behörden-Domain für Diebstahl
Ein raffinierter Betrug trifft die Neobank Revolut: Über eine verifizierte Regierungs-Domain erbeuteten Hacker sensible Kundendaten und erpressen nun Opfer.
Die Neobank Revolut muss sich mit einem Datenvorfall auseinandersetzen. Täter nutzten eine echte Behörden-Domain, um an sensible Informationen zu kommen.
Eigentlich setzt Europas größte Neobank gerade zum Sprung über den großen Teich an. Revolut strebt auch in den USA eine Zulassung als Bank an. Da kommt es extrem ungelegen, dass sich die Neobank nun mit einem Datenschutzvorfall beschäftigen muss. Bei dem Hack wurden offenbar gezielt vermögende Personen ins Visier genommen.
Die Neobank hat bereits eingeräumt, Ziel eines „ausgeklügelten externen Betrugsversuchs“ geworden zu sein, bei dem sensible Kundendaten abflossen. Ein unbefugter Dritter habe eine legitime E-Mail-Domain einer Regierungsbehörde genutzt, um betrügerische Auskunftsanfragen zu stellen.
Finanzinstitute sind gesetzlich dazu verpflichtet, offiziellen Anfragen von Strafverfolgungs- oder Regierungsbehörden nachzukommen. Da die Mail in diesem Fall von einer verifizierten Regierungsdomain kam, bearbeitete Revolut die Anfragen entsprechend und gab die geforderten Daten weiter.
Erst durch eine spätere Nachfrage der Bank bei der Behörde soll der Betrug aufgefallen sein. Von welcher Regulierungsbehörde die betrügerische Mail kam, ist nicht bekannt. Revolut macht dazu keine Angaben. Ob andere Banken oder Fintechs ebenfalls solche Mails erhalten haben, ist ebenfalls unklar.
Das IT-System von Revolut und auch Kundengelder sind von der Hacker-Attacke aber nicht betroffen, betont das Fintech. Nach der Entdeckung hat Revolut die betreffende Adresse zwar umgehend gesperrt und den Vorfall an die zuständigen Regierungsstellen und Strafverfolgungsbehörden gemeldet. Doch zu diesem Zeitpunkt hatten die Angreifer offenbar schon einige Daten erhalten.
Betroffen sind wohl einige hundert Kundinnen und Kunden, eine kleine Zahl auch in Deutschland; sie wurden von Revolut direkt kontaktiert. Zu den herausgegebenen Daten gehörten Identitäts- und Kontaktdaten wie etwa das Geburtsdatum, Post- und E-Mail-Adresse, Telefonnummern sowie Transaktionsdaten einschließlich Bitcoin-Transaktionen. Außerdem wurden Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen weitergegeben.
Der Krypto-Sicherheitsforscher ZachXBT berichtete laut Techcrunch bereits am Abend des 11. September 2026 über die E-Mail von Revolut an die betroffenen Kundinnen und Kunden. Er vermutete, dass vor allem vermögende Einzelpersonen Ziel der Attacke sind.
Mittlerweile haben die Hacker offenbar einen Erpressungsversuch gestartet und nach Angaben des Analysedienstes International Cyber Digest unter anderem Ausweisdokumente und Selfies des Tennisspielers Alexander Shevchenko sowie von Felix Römer, CEO des Online-Krypto-Casinos Gamdom, in einer Telegram-Gruppe veröffentlicht. Weitere Veröffentlichungen sollen folgen, wenn Revolut nicht zahlt. Ob hinter dem Erpressungsversuch tatsächlich die Hacker stehen und ob die veröffentlichten Dokumente echt sind, ist bislang nicht verifiziert.