Bij een datalek bij financieel technologiebedrijf Revolut zijn gegevens van klanten uit verschillende landen gelekt. Daarbij zijn ook kopieën van Nederlandse paspoorten openbaar gemaakt. Tot de buitgemaakte informatie behoren verder geboortedata, adressen, telefoonnummers, bankafschriften en selfies die klanten voor identiteitscontroles hebben gemaakt.
Een deel van de gegevens is inmiddels online gepubliceerd. Onder de Nederlandse slachtoffers bevindt zich zangeres Yade Lauren. Ook identiteitsdocumenten van klanten uit onder meer Zuid-Korea, Bulgarije, Malta en Duitsland zijn uitgelekt. Het is niet bekend hoeveel mensen in totaal door het incident zijn getroffen.
Misbruik van overheidsadres
De gegevens kwamen beschikbaar nadat een onbevoegde derde een echt e-mailadres van een overheidsinstantie misbruikte. Via dat adres werden frauduleuze verzoeken bij Revolut ingediend. De aanvallers maakten daarbij gebruik van social engineering, waarbij slachtoffers of medewerkers worden misleid om informatie vrij te geven.
Revolut blokkeerde het e-mailadres nadat het misbruik was ontdekt. De betrokken overheidsorganisatie en de politie zijn ingelicht. Het bedrijf heeft klanten die mogelijk zijn getroffen benaderd, maar heeft niet bevestigd hoeveel Nederlandse klanten tot de slachtoffers behoren. Revolut ontkent niet dat Nederlanders zijn getroffen. Of ook Belgische klanten gedupeerd zijn, is onbekend.
Onder de uitgelekte documenten zitten ook gegevens van vermogende klanten. Zo is het identiteitsbewijs van de Duitse ondernemer Felix Römer openbaar geworden. Römer, eigenaar van cryptocasino Gamdom, heeft het lek bevestigd.
Geld en systemen niet geraakt
Volgens Revolut heeft het incident geen gevolgen voor het geld van klanten. Ook de systemen van het bedrijf zouden niet zijn aangetast. Het lek betrof de informatie die na de frauduleuze verzoeken is verstrekt.
De openbaar gemaakte documenten kunnen wel worden misbruikt voor identiteitsfraude of gerichte phishing. Revolut heeft niet gemeld welke aanvullende maatregelen getroffen klanten moeten nemen. Ook is niet duidelijk hoelang de gegevens online beschikbaar zijn geweest of hoeveel documenten precies zijn gepubliceerd.
