Revolut heeft mogelijk vertrouwelijke gegevens van klanten aan fraudeurs verstrekt nadat het bedrijf een vervalst verzoek voor klantinformatie had aangezien voor een legitiem verzoek van een overheidsinstantie. Dat meldt Reuters.
De fraudeurs gebruikten een e-mailadres met een overheidsdomein om de digitale verzoeken naar Revolut te sturen. Door dat adres leek de communicatie afkomstig van een officiële instantie, terwijl de verzoeken in werkelijkheid door oplichters waren opgesteld.
De zaak laat zien hoe een ogenschijnlijk officieel e-mailadres kan worden gebruikt om een financiële dienstverlener ertoe te brengen gevoelige klantinformatie vrij te geven. In de beschikbare informatie wordt niet vermeld om welke overheidsinstantie de fraudeurs zich precies voordeden.
Gevoelige gegevens mogelijk blootgelegd
Onder de gegevens die mogelijk zijn verstrekt, bevinden zich adressen en telefoonnummers van Revolut-klanten. Ook kopieën van identiteitsdocumenten zouden onderdeel kunnen zijn geweest van de informatie die de fraudeurs via hun verzoeken probeerden te verkrijgen.
Daarnaast konden selfies die klanten voor hun identiteitscontrole hadden aangeleverd, zijn gedeeld. Zulke beelden worden gebruikt bij verificatieprocedures en kunnen samen met een kopie van een identiteitsdocument bijzonder gevoelige persoonsgegevens vormen.
De mogelijke openbaarmaking bleef volgens de berichtgeving niet beperkt tot gegevens voor identificatie. Ook bankafschriften en de transactiegeschiedenis van klanten konden in handen van de fraudeurs zijn gekomen. Daarmee konden de verzoeken informatie omvatten over zowel de identiteit als de financiële activiteiten van klanten.
Vervalste verzoeken
De kern van de fraude was het gebruik van een e-mailadres met een overheidsdomein. De afzenders stuurden daarmee verzoeken die zich voordeden als officiële vragen om klantgegevens. Revolut vertrouwde op de herkomst die uit het e-mailadres leek te blijken en gaf daarop informatie door.
Een overheidsdomein kan een verzoek een officieel karakter geven, maar vormt op zichzelf geen bewijs dat de afzender daadwerkelijk namens een overheidsinstantie handelt. In dit geval wisten fraudeurs dat uiterlijk na te bootsen en gebruikten zij die schijnbare legitimiteit om toegang te krijgen tot gegevens van Revolut-klanten.
De mogelijke gevolgen verschillen per klant, afhankelijk van de informatie die in reactie op de vervalste verzoeken is verstrekt. Een adres of telefoonnummer kan worden gebruikt om iemand rechtstreeks te benaderen, terwijl identiteitsdocumenten, selfies, bankafschriften en transactiegegevens een veel uitgebreider beeld van een klant kunnen geven.
Geen details over omvang
De beschikbare berichtgeving vermeldt niet hoeveel klanten door de werkwijze zijn geraakt en evenmin welke afzonderlijke gegevens in elk geval daadwerkelijk zijn overgedragen. Ook is niet duidelijk gemaakt wanneer de verzoeken zijn verstuurd of welke specifieke stappen Revolut na de ontdekking heeft gezet.
Wel staat vast dat de fraudeurs het bedrijf benaderden met verzoeken die afkomstig leken van een overheidsinstantie en dat daardoor mogelijk vertrouwelijke klantgegevens zijn vrijgegeven. De genoemde informatie omvat zowel contactgegevens en documenten als verificatiemateriaal, bankafschriften en de geschiedenis van transacties.
De melding onderstreept daarmee vooral het belang van controle op verzoeken om klantinformatie, ook wanneer die via een herkenbaar overheidsdomein binnenkomen. In deze zaak konden fraudeurs juist doordat hun communicatie officieel leek, toegang krijgen tot gegevens die klanten aan Revolut hadden verstrekt voor identificatie en bankdiensten.
