Revolut deelt gevoelige klantdata na nepverzoek

Er zijn volgens Revolut geen klanttegoeden verdwenen. Toch is het incident relevant voor cryptobeleggers. De gelekte informatie kan namelijk een directe koppeling maken tussen iemands echte identiteit en transacties op de Bitcoin–blockchain.

Revolut trapte in vals overheidsverzoek

De fraude begon met een verzoek dat afkomstig leek van een officiële overheidsinstantie. De afzender gebruikte gegevens die overtuigend genoeg waren om de controles van Revolut te doorstaan.

Revolut verstrekte vervolgens de gevraagde klantinformatie. Toen het bedrijf later rechtstreeks contact opnam met de betreffende overheidsinstantie, bleek dat die het verzoek niet had verstuurd.

Het probleem zat dus niet bij een gehackt klantenaccount. De aanvaller wist zich succesvol voor te doen als iemand die bevoegd was om gevoelige gegevens op te vragen.

Revolut heeft de bron van het verzoek inmiddels geblokkeerd. Ook heeft het bedrijf getroffen klanten en toezichthouders geïnformeerd. Hoeveel klanten precies zijn geraakt, is nog niet bekendgemaakt.

Ook paspoorten en Bitcoin-transacties gedeeld

De mogelijke omvang van de gedeelde gegevens maakt het incident gevoelig. De bestanden bevatten volgens meldingen onder meer namen, geboortedata, beroepen, woonadressen, e-mailadressen en telefoonnummers.

Ook paspoorten of rijbewijzen, selfies voor identiteitsverificatie, IBAN-nummers, rekeningafschriften en opnamegegevens konden onderdeel zijn van de informatie.

Voor cryptogebruikers springt vooral de transactiegeschiedenis eruit. Revolut deelde bij sommige klanten informatie over hun Bitcoin-activiteit.

Dat is belangrijk omdat transacties op de Bitcoin-blockchain openbaar zijn. Een Bitcoin-adres laat normaal gesproken niet automatisch zien welke persoon erachter zit. Wanneer een financiële instelling dat adres koppelt aan een naam, paspoort en woonadres, verandert dat.

Een aanvaller kan dan mogelijk zien welke blockchainactiviteit bij een specifieke persoon hoort.

Waarom dit extra risico geeft voor Bitcoin-bezitters

Bitcoin is pseudoniem, niet volledig anoniem. Transacties staan permanent op een openbaar register, terwijl de identiteit van de eigenaar meestal buiten de blockchain blijft.

Financiële dienstverleners kunnen die twee werelden met elkaar verbinden. Zij kennen hun klanten vanwege verplichte identiteitscontroles en beschikken soms tegelijkertijd over informatie over stortingen en opnames van crypto.

Wanneer zulke gegevens uitlekken, kan een kwaadwillende partij bijvoorbeeld proberen te achterhalen hoeveel Bitcoin iemand bezit of welke adressen die persoon gebruikt.

Vooral bij vermogende cryptobeleggers kan dat een veiligheidsrisico opleveren. Onchain-onderzoeker ZachXBT, die aandacht vroeg voor het incident, stelde dat het lek waarschijnlijk relatief beperkt was en mogelijk vooral vermogende gebruikers trof. Revolut heeft dat laatste niet bevestigd.

AI maakt identiteitsfraude overtuigender

Het incident legt ook een breder probleem bloot. Banken en cryptoplatforms verzamelen grote hoeveelheden persoonsgegevens om klanten te identificeren en aan regelgeving te voldoen.

Tegelijkertijd maakt generatieve AI het eenvoudiger om overtuigende e-mails, documenten en andere zakelijke communicatie te produceren. Daardoor kan een frauduleus verzoek professioneel en geloofwaardig overkomen.

Financiële bedrijven moeten daarom niet alleen hun databases beveiligen. Ze moeten ook zorgvuldig controleren wie toegang tot gegevens vraagt en of die persoon daadwerkelijk bevoegd is.

Kunnen zero-knowledge proofs helpen?

Een technologie die hierbij steeds vaker wordt genoemd, is de zero-knowledge proof, meestal afgekort tot ZK-proof.

Met een ZK-proof kan iemand cryptografisch aantonen dat bepaalde informatie klopt zonder alle onderliggende gegevens te delen. Een systeem kan bijvoorbeeld bevestigen dat een klant een identiteitscontrole heeft afgerond zonder telkens een volledige kopie van een paspoort beschikbaar te stellen.

Dat betekent niet dat ZK-technologie het Revolut-incident automatisch had voorkomen. Banken en andere financiële bedrijven moeten vanwege wetgeving nog altijd bepaalde klantgegevens verzamelen en bewaren.

Het principe kan wel helpen om de hoeveelheid gevoelige informatie die organisaties opslaan en delen te beperken. Minder beschikbare persoonsgegevens betekent ook minder informatie die bij een beveiligingsincident kan uitlekken.

Wat kunnen Revolut-klanten nu verwachten?

Revolut zegt dat klanttegoeden veilig zijn gebleven. Voor getroffen gebruikers zit het belangrijkste risico daarom in mogelijk misbruik van hun persoonlijke informatie.

Vooral gerichte phishing verdient aandacht. Iemand die al een naam, telefoonnummer, rekeninginformatie en transactiegeschiedenis kent, kan een veel geloofwaardiger bericht opstellen dan bij een willekeurige phishingpoging.

Bij Bitcoin komt daar nog iets bij. Zodra een identiteit aan een blockchainadres is gekoppeld, blijft de historische activiteit van dat adres openbaar. Dat maakt het moeilijk om de gevolgen van zo’n datalek volledig terug te draaien.

Conclusie

Het Revolut datalek laat zien dat cryptobeveiliging niet alleen draait om het beschermen van private keys en klanttegoeden. Persoonsgegevens en transactiegeschiedenis kunnen eveneens waardevol zijn voor aanvallers.

In dit geval wist een frauduleus overheidsverzoek de controles van Revolut te passeren. Daardoor kwamen gevoelige klantgegevens buiten de organisatie terecht, waaronder informatie over Bitcoin-transacties.

Voor cryptobeleggers onderstreept het incident vooral hoe gevoelig de koppeling tussen identiteit en blockchainactiviteit kan zijn.

Veelgestelde vragen

Zijn er cryptomunten gestolen bij Revolut?

Volgens Revolut zijn geen klanttegoeden verloren gegaan. Het incident draaide om het ongeoorloofd delen van persoonlijke en financiële klantgegevens.

Welke gegevens zijn bij het Revolut datalek gedeeld?

De informatie kon onder meer namen, adressen, contactgegevens, identiteitsdocumenten, rekeninggegevens en transactiegeschiedenissen bevatten. Bij sommige klanten ging het ook om Bitcoin-activiteit.

Waarom zijn gelekte Bitcoin-transacties gevoelig?

Bitcoin-transacties zijn openbaar. Wanneer een aanvaller een Bitcoin-adres kan koppelen aan een echte naam, woonadres of identiteitsdocument, kan die persoon mogelijk een deel van de financiële activiteit van de eigenaar volgen