Die Hackergruppe, die sich selbst „iamnotavillain“ nennt, hat öffentlich ein Lösegeld von 3 Millionen US-Dollar in der Privacy-Coin Monero von Revolut gefordert und damit gedroht, gestohlene Kundendaten innerhalb von 24 Stunden zu verkaufen, falls das in London ansässige Fintech nicht zahlt. Die Gruppe veröffentlichte die Forderung am Mittwoch, dem 16. September, auf einer Darknet-Seite, nur wenige Tage nachdem Revolut einen Sicherheitsvorfall bestätigt hatte, bei dem Ausweisdokumente von rund 680 europäischen Kunden offengelegt wurden.
Wie die Angreifer an Revoluts Daten gelangten
Die Angreifer erhielten die Unterlagen über ein kompromittiertes institutionelles E-Mail-Konto der Präfektur Reggio Calabria in Italien, wodurch es ihnen möglich war, Anfragen zu stellen, die scheinbar von einer Regierungsbehörde stammten, erklärten italienische Staatsanwälte. Revolut bestätigte den Vorfall vergangene Woche und erklärte, dass Kundengelder nicht betroffen seien, allerdings seien Ausweisdokumente, Geburtsdaten und Kontaktdaten offengelegt worden. Das Unternehmen hatte zuvor die fingierte Regierungsanfrage, die die Kundendaten kompromittierte, als ausgeklügelten externen Täuschungsversuch beschrieben. Ermittler arbeiten weiterhin daran, ob das institutionelle E-Mail-Konto, von dem die Anfragen ausgingen, infiltriert oder geklont wurde – ein Hinweis darauf, wie sorgfältig der Angriff vorbereitet wurde.
Öffentliche Forderung über 3 Millionen Monero
Die Hacker behaupten, 147 Gigabyte an Daten zu besitzen, die Reisepässe, Führerscheine, Ausweisdokumente und Fotos umfassen, und drohten damit, das Material an andere kriminelle Organisationen zu verkaufen, falls die Zahlung nicht innerhalb von 24 Stunden erfolgt. Die Financial Times stellte fest, dass die Veröffentlichung einer Lösegeldforderung ungewöhnlich ist, da Erpressungsversuche normalerweise zunächst privat erfolgen und erst öffentlich werden, wenn das Ziel sich weigert zu verhandeln.
Staatsanwälte und Aufsichtsbehörden reagieren
Die italienische Nationale Antimafia- und Terrorismusdirektion arbeitet an dem Fall, und Staatsanwälte in Reggio Calabria prüfen eine Anzeige wegen unbefugtem Eindringen in ein IT-System von öffentlichem Interesse. Ermittler sagten, dass der Angriff offenbar über Monate hinweg andauerte und noch ermittelt wird, ob ein Computer in der Präfektur oder im Innenministerium Italiens kompromittiert wurde. Die italienische Datenschutzbehörde hat Überprüfungen eingeleitet und Kontakt zu ihrer litauischen Amtskollegin aufgenommen, da sich Revoluts Firmensitz in Litauen befindet. Der Vorfall ist der jüngste in einer Reihe von Angriffen, bei denen staatliche Datenanfragen dazu missbraucht werden, um auf private Kundendaten zuzugreifen.
