Revolut-datalek: je paspoortkopie en selfie in handen van criminelen
Revolut verstrekte na een frauduleus overheidsverzoek persoonsgegevens, identiteitsbewijzen en transactiegegevens van 680 klanten, waaronder 36 Nederlanders, aan criminelen.
- Omvang
- 680 klanten, waaronder 36 Nederlanders (Revolut tegenover Reuters over een zeer beperkt aantal; 680 en 36 Nederlanders via Security.NL en BNR)
- Uitgelekt
- naam geboortedatum beroep adresgegevens e-mailadres telefoonnummer kopie van paspoort of rijbewijs selfie voor gezichtsverificatie transactiegegevens bitcoin-gerelateerde data
- Stand
- Aanvallers dreigen de gegevens openbaar te maken als er geen losgeld wordt betaald; onderzoek loopt
Je opent je mailbox en ziet een mail van een onbekende afzender: wij hebben je paspoortkopie, de selfie die je voor je bank maakte, en je transactieoverzicht. Betaal binnen 48 uur, anders publiceren we alles. Voor 680 Revolut-klanten, onder wie 36 Nederlanders, is dat dreigement geen verzinsel: hun documenten zijn echt in verkeerde handen beland.
Hoe kwam een bank zover?
Het verhaal is bizar. Revolut kreeg een dataverzoek dat leek te komen van een overheidsinstantie, van een legitiem maildomein zelfs, en verstrekte de gevraagde gegevens. Achteraf bleek het verzoek frauduleus. Volgens onderzoekers nam een aanvaller met infostealer-malware het mailaccount van een Italiaanse ambtenaar over en stuurde vijf maanden lang verzoeken naar de Litouwse tak van de bank; Revolut heeft die uitleg niet bevestigd. Feit is dat een bank identiteitsbewijzen uitgaf op basis van een mail.
Je paspoortkopie is een verkoopbaar document
Een gelekt wachtwoord kun je wijzigen, een paspoortkopie niet. Samen met je naam, adres, geboortedatum en telefoonnummer is zo’n document goud waard voor oplichters: het maakt nepaccounts geloofwaardig en overtuigt mensen die een kopie met hun eigen gezicht erop zien. Daar komt bij dat ook transactiegegevens en opname-overzichten zijn gestolen, zodat een beller kan inschatten hoeveel geld je hebt.
Afpersing en de vragen die Revolut laat liggen
De aanvallers dreigen alles openbaar te maken als er geen losgeld wordt betaald. Betaal dat nooit; je krijgt er geen garantie tegenover, en je financiert de volgende aanval. Over de aanpak zelf blijft Revolut vaag: de bank noemt het aantal getroffen klanten niet tegenover persbureau Reuters, en hoe het frauduleuze verzoek van een echt overheidsdomein kon worden verstuurd, is nog steeds onduidelijk. Een partij die identiteitsbewijzen bewaart, had hier een extra controle verdiend.
Niet betalen, wel melden
Wie een afpersingsmail of verdacht bericht krijgt: niet betalen, niet reageren, wachtwoorden wijzigen en twee-stapsverificatie aanzetten. Check of je mailadres in bekende lekken staat bij ben ik gehackt, en doe aangifte van afpersing bij de politie.