De aanvallers achter het datalek bij Revolut zijn hun buit online gaan zetten en leggen de fintech openlijk onder druk. Volgens berichtgeving publiceerden zij identiteitsdocumenten en selfies van klanten, met de belofte dat er dagelijks meer volgt zolang Revolut niet betaalt. Op Telegram schreven de daders naar verluidt: “We’re going to start releasing more and more data everyday until revolut pays for leaking their customers.” Dat maakt van dit incident geen gewoon datalek meer, maar een afpersingszaak die dag na dag kan escaleren.
Tot de eerste gepubliceerde gegevens behoren naar verluidt selfies en kopieën van identiteitsbewijzen van tennisser Alexander Shevchenko en van Felix Römer, topman van het online crypto-casino Gamdom. Juist die combinatie maakt dit lek gevaarlijker dan een gelekt wachtwoord. Een wachtwoord wissel je in dertig seconden. Je gezicht en je paspoort niet.
Waarom een selfie plus paspoort zo gevoelig ligt
Veel financiele apps gebruiken een selfie in combinatie met een identiteitsbewijs om je te verifieren, de zogeheten KYC-check (Know Your Customer). Precies dat materiaal ligt nu op straat. Voor oplichters is dat een startpakket voor identiteitsdiefstal: rekeningen openen op andermans naam, verificaties omzeilen of gerichte phishing opzetten. Revolut liet klanten weten dat de gelekte set breder is dan documenten alleen. Het gaat ook om volledige naam, geboortedatum, beroep, contactgegevens, rekeningafschriften en de complete transactiegeschiedenis, inclusief registraties van Bitcoin-transacties.
Dat laatste raakt cryptogebruikers direct. Wie in kaart kan brengen wanneer iemand Bitcoin kocht of verkocht, kent diens vermogenspatroon en kan die persoon gerichter benaderen. In een sector waar mensen soms grote bedragen zelf beheren, is zo’n profiel goud waard voor criminelen.
Geen inbraak in de systemen, maar misbruik van vertrouwen
Opvallend is hoe de data naar buiten kwam. Revolut spreekt niet over een klassieke hack van zijn infrastructuur, maar over een “sophisticated external impersonation scam”. Daarbij gebruikte de aanvaller een e-mailadres van een legitiem overheidsdomein om frauduleuze informatieverzoeken in te dienen. Met andere woorden: iemand deed zich voor als een echte instantie, en het bedrijf leverde gegevens aan omdat het verzoek er authentiek uitzag.
Dat is een pijnlijk zwak punt, want het draait niet om een lek in de code maar in het proces. Overheidsverzoeken om klantdata zijn voor banken en fintechs dagelijkse kost. Als criminelen dat kanaal weten na te bootsen, helpen de sterkste versleuteling en tweestapsverificatie je weinig. De zwakke schakel zit dan bij de mens en de procedure die zo’n verzoek beoordeelt.
Revolut benadrukt dat het om een beperkt aantal klanten gaat en dat de eigen systemen en het geld van klanten niet zijn geraakt. Dat is geruststellend voor wie vreest voor zijn saldo, maar het lost het kernprobleem niet op. Gelekte identiteitsdocumenten laten zich niet terugtrekken, en de daders zeggen dat ze de druk opvoeren zolang er niet betaald wordt.
Wat je nu zelf kunt doen
Ben je Revolut-klant, ga er dan vanuit dat oplichters extra actief zullen zijn. Wees op je hoede voor berichten die zich voordoen als Revolut, je bank of een overheidsinstantie en die vragen om codes, inloggegevens of bevestiging van je identiteit. Revolut of een echte instantie zal nooit vragen om je volledige wachtwoord of eenmalige codes. Zet waar mogelijk extra beveiliging aan, controleer je afschriften vaker dan gewoonlijk en meld verdachte transacties meteen.
Meerdere cryptomedia berichtten over de zaak nadat de eerste bestanden opdoken. Voor de bredere sector is dit een herinnering dat de gevoeligste data niet altijd via een spectaculaire inbraak weglekt, maar via een net iets te overtuigende e-mail.
