Dieser Bericht bewertet einen Vorfall mit einer betrügerischen Notfalldatenabfrage (Emergency Data Request – EDR) bei Revolut, bei dem Kundeninformationen durch den Missbrauch eines legitimen E-Mail-Kanals einer Regierungsbehörde offengelegt wurden, anstatt durch eine direkte Kompromittierung der Revolut-Systeme. Die Analyse konzentriert sich auf den Angriffspfad, die offengelegten Datenkategorien, Kontrollausfälle, Erkennungsmöglichkeiten und Abwehrmaßnahmen für Finanzinstitute, die Anfragen von Strafverfolgungsbehörden bearbeiten.

Übersicht

Zwischen dem 11. und 12. September 2026 verzeichnete der weltweit tätige Fintech-Riese Revolut (bewertet mit 115 Milliarden US-Dollar und über 80 Millionen Kunden) einen zielgerichteten Sicherheitsvorfall, der zur unbefugten Offenlegung vollständiger Know-Your-Customer-Dossiers (KYC) und Finanztransaktionsdaten von 680 Premium-Kunden führte.

Entscheidend ist, dass keine Revolut-Datenbanken, Endpunkte, Kernbanksysteme oder Kundengelder kompromittiert oder infiltriert wurden. In der öffentlichen Berichterstattung wurden keine direkten Kompromittierungen der Kernbankeninfrastruktur oder der Kundengelder von Revolut festgestellt. Der Vorfall beinhaltete stattdessen die unbefugte Offenlegung von Kundeninformationen über einen legitimen Kommunikations- und Compliance-Kanal.

Der Vorfall stellt eine betrügerische Notfalldatenabfrage (Fraudulent Emergency Data Request – EDR) dar – im Wesentlichen ein Angriff auf die Geschäftslogik und mittels Social Engineering gegen den Bearbeitungsprozess von Strafverfolgungsanfragen bei Revolut.

Ein Angreifer nutzte ein legitimes, authentifiziertes E-Mail-Konto einer italienischen Regierungsbehörde (pec.interno.it), um Notfallanfragen der Strafverfolgungsbehörden einzureichen. Da die eingehenden Anfragen die technischen Domain-Authentifizierungsprüfungen (SPF, DKIM, DMARC) erfolgreich bestanden, kamen die Compliance-Mitarbeiter von Revolut den Anfragen in gutem Glauben nach.

Die Anfragen stammten von einer legitimen E-Mail-Domain einer Regierungsbehörde, wodurch die Nachrichten innerhalb des bestehenden Prozesses von Revolut zur Entgegennahme von Strafverfolgungsanfragen authentisch wirkten. In der öffentlichen Berichterstattung werden die genauen SPF-, DKIM- und DMARC-Ergebnisse für die einzelnen Nachrichten nicht eindeutig belegt, weshalb diese Authentifizierungsergebnisse nicht als unabhängig bestätigt betrachtet werden sollten.

Der Angreifer initiierte anschließend eine Erpressungskampagne unter dem Pseudonym „Revolut Smilik“ und forderte 10.000 Bitcoin (ein Akteur, der die Aliase „iamnotavillain“ und „Revolut Smilik“ verwendet).

Chronologie und Rekonstruktion des Vorfalls

Zeitlicher Ablauf der Ereignisse

Betroffene Assets und Infrastruktur

Analyse der Datenkompromittierung

Die Kompromittierung führte zum Abfluss vollständiger, unzensierter Kundenidentitätsdossiers.

• Exponierte Datenkategorien: Vollständige Namen, Geburtsdaten, Telefonnummern, Postanschriften, E-Mail-Adressen, Kopien von Reisepässen und Führerscheinen, Onboarding-Verifizierungsselfies, Kontoauszüge, IBANs und vollständige Transaktionsdaten (einschließlich On-Chain-Wallet-Adressen für Bitcoin-Ein- und Auszahlungen).

Die offengelegten Informationen umfassten möglicherweise:

• Vollständige Namen

• Geburtsdaten

• Anschriften

• E-Mail-Adressen

• Telefonnummern

• Kopien von Reisepässen / Identitätsdokumenten

• Selfies zur Verifizierung

• Kontoauszüge

• Transaktionsdaten

• IBAN-/Kontoinformationen

• Kryptowährungs-Transaktionsdaten

• Ausschlussliste: Biometrische Rohdaten von Gesichtstelemetriemodellen, Zahlungskartennummern, CVVs, Konto-PINs und Portalpasswörter wurden nicht offengelegt.

• Anzahl der Betroffenen: Genau 680 Personen.

• Betroffenenprofil: Hochgradig selektiv ausgerichtet auf High-Net-Worth (HNW) Krypto-Inhaber und Technologie-Führungskräfte. Zu den bestätigten Opfern gehören der ehemalige Mt.-Gox-CEO Mark Karpelès und der Gamdom-CEO Felix Römer.

 Attribuierung der Bedrohungsakteure und technisches Profiling

Bewertung der Attribuierung

• Anspruchsteller: Ein Bedrohungsakteur/eine Bedrohungsgruppe, die unter dem Namen „Revolut Smilik“ agiert (zuvor unter dem Telegram-Nutzernamen „iamnotavillain“ aktiv).

• Lösegeldforderung: 10.000 BTC (~600+ Mio. USD). Es ist anzumerken, dass der Bedrohungsakteur laut Berichten der Financial Times öffentlich rund 3 Millionen US-Dollar in Monero (XMR) gefordert hat. Revolut hat erklärt, dass kein direkter Kontakt oder eine direkte Lösegeldforderung seitens der mutmaßlichen Angreifer eingegangen ist.

Forensische Analyse der Infrastruktur  

• Hosting der Erpresserseite: Statische Seite gehostet auf GitHub Pages (btres9kijob[.]github.io), die auf imnotavillain[.]xyz verweist.

• Erstellungszeitraum: Erstellt in ca. 6,5 Stunden am 14. September 2026, vollständig über die Webschnittstelle.

• Fehler im operativen Betrieb (OPSEC-Mängel):

  • E-Mail-Exposition: Öffentliche Git-Commit-Protokolle enthüllten eine Outlook.com-E-Mail-Adresse des Autors.

  • Zeitzonen-Indikator: Commits enthielten einen UTC-07:00-Offset.

  • Dateiwiederherstellung: Gelöschte Daten (proof.jpg, jurisdiction.jpg, Screenshot_35.jpg) konnten direkt aus dem Git-Commit-Verlauf wiederhergestellt werden.

Analyse des initialen Angriffsvektors

• Kompromittierte Identität: Ein zertifiziertes E-Mail-Konto der italienischen Regierung (Posta Elettronica Certificata – PEC) unter der Domain pec.interno.it (zugeordnet der Präfektur von Reggio Calabria).

• Kontext: Im Juni 2026 meldete das italienische CERT-AgID einen weit verbreiteten Diebstahl von Anmeldedaten über Infostealer-Schadsoftware, der über 650 PEC-Konten betraf.

MITRE ATT&CK Mapping

Rekonstruktion der Angriffskette

                                   │

                                   ▼

 [PHASE 1: KOMPROMITTIERUNG DER VORGESTAGETEN INFRASTRUKTUR]

 Der Akteur erlangt die Kontrolle über ein gültiges italienisches Regierungs-PEC-Postfach (pec.interno.it)

 über Infostealer-Protokolle oder sekundäre Märkte für Anmeldedaten.

                                   │

                                   ▼

 [PHASE 2: RECONNAISSANCE & ZIELAUFKLÄRUNG]

 Der Akteur erstellt eine Liste von 680 HNW-Kryptonutzern und beschafft spezifische

 Zielidentifikatoren (z. B. Zielnamen, Wallet-Adressen, IBANs).

                                   │

                                   ▼

 [PHASE 3: EDR-FÄLSCHUNG & ÜBERMITTLUNG]

 Der Akteur entwirft Notfalldatenabfragen mit gefälschten dringenden rechtlichen Kopfzeilen und

 sendet diese über das authentifizierte PEC-Postfach an das Rechtsteam von Revolut.

                                   │

                                   ▼

 [PHASE 4: COMPLIANCE-ENTGEGENNAHME & VERIFIZIERUNGS-BYPASS]

 Automatisierte Systeme von Revolut prüfen SPF/DKIM/DMARC -> PASS.

 Mitarbeiter führen eine manuelle Prüfung durch, stellen die legitime Domain fest und umgehen den Out-of-Band-Rückruf (OOB).

                                   │

                                   ▼

 [PHASE 5: DOSSIER-ERSTELLUNG & OFFENLEGUNG]

 Der Compliance-Mitarbeiter exportiert KYC-Datensätze (Reisepässe, Selfies, Transaktionsprotokolle)

 und antwortet direkt an die E-Mail-Adresse des Anforderers.

                                   │

                                   ▼

 [PHASE 6: ERPRESSUNG & ÖFFENTLICHE OFFENLEGUNG]

 Der Akteur richtet die Erpresserseite (imnotavillain[.]xyz) ein, veröffentlicht Auszüge der Dossiers

 und fordert 10.000 BTC.

Technisch ungewöhnliche und unzureichend diskutierte Schwachstellen

• Der Trugschluss, Domain-Authentifizierung mit Autorisierung gleichzusetzen

  E-Mail-Authentifizierungsprotokolle (SPF, DKIM, DMARC) bestätigen lediglich, dass eine Nachricht von einem autorisierten Server für eine bestimmte Domain stammt. Sie bieten keinerlei Garantie hinsichtlich der Identität oder Absicht des menschlichen Akteurs hinter der Tastatur. Die Eingangskontrollen von Revolut verließen sich auf die technische Gültigkeit der Domain als Indikator für eine rechtmäßige Befugnis.

• Blinder Fleck in der PEC-Systemarchitektur

  Das zertifizierte E-Mail-System Italiens (Posta Elettronica Certificata – PEC) bietet einen rechtlichen Nachweis über Versand und Zustellung. Es fehlt jedoch an einer obligatorischen Multi-Faktor-Authentisierung (MFA) oder an Kontrollen zur Sitzungsbindung über alle regionalen kommunalen Knotenpunkte hinweg. Wenn ein Angreifer PEC-Anmeldedaten erlangt, erbt er eine absolute rechtliche Authentizität innerhalb der europäischen Rechtsrahmen.

• Abfluss über autorisierte Compliance-Kanäle

  Klassische Endpoint Detection & Response (EDR), Data Loss Prevention (DLP) und User and Entity Behavior Analytics (UEBA) sind darauf konfiguriert, unbefugten Netzwerkabfluss, Datenbank-Dumps oder unbekannte C2-Protokolle zu erkennen. In diesem Fall erfolgte der Datenabfluss über den standardmäßigen geschäftlichen E-Mail-Verkehr, initiiert durch autorisiertes Compliance-Personal im Rahmen seiner Routineaufgaben, was die technischen Sicherheitslösungen vollständig blind machte.

• KYC-Dossiers als taktische „Dossiers für physisches Targeting“: Für Kryptowährungsinvestoren erhöht die Verknüpfung von pseudonymen On-Chain-Einzahlungsadressen mit realen Wohnsadressen, Passnummern und Telefonnummern die physischen Sicherheitsrisiken (wie Hauseinbrüche, Erpressung zur erzwungenen Überweisung, SIM-Swapping) erheblich.

Begünstigende Bedingungen für Angreifer

• Validierter Zugriffspunkt: Besitz aktiver Anmeldedaten für eine gültige Regierungsdomain (pec.interno.it).

• Fehlen einer Out-of-Band-Verifizierung (OOB): Erfüllung hochsensibler Datenanfragen, ohne unabhängige telefonische Rückfragen über offizielle, unabhängig ermittelte Telefonnummern von Behördenverzeichnissen durchzuführen.

• Schwachstelle durch Ein-Personen-Freigabe: Fehlen von Anforderungen an eine Zweifach-Autorisierung („Vier-Augen-Prinzip“) vor dem Export und der Übermittlung vollständiger KYC-Datenpakete von Kunden.

Kontroll- und Abwehrausfälle

• Ausfall der Identitäts- und Verifizierungskontrolle: Automatisierte Systeme validierten die Domain-Header, es wurde jedoch keine sekundäre Verifizierung erzwungen, um die Autorisierung des menschlichen Absenders zu validieren.

• Mangelnde Datenminimierung: Nach Annahme der Notfallanfrage exportierten die Compliance-Mitarbeiter vollständige Transaktionsdaten, IBANs und Selfie-Bilder. Notfalloffenlegungen sollten streng auf die minimal erforderlichen Datensätze beschränkt sein.

• Lücke in SIEM / Anomalieerkennung: Security Operations Centers überwachen in der Regel keine Compliance-Eingangswarteschlangen auf ungewöhnliche Spitzen im EDR-Volumen, die auf bestimmte HNW-Benutzergruppen abzielen.

 Erkennungsmöglichkeiten und Telemetrieanforderungen

Breitere Auswirkungen auf die Cybersicherheit

• Systemische Instrumentalisierung des EDR-Mechanismus: Dieser Vorfall deckt sich mit den Warnungen in der FBI Private Industry Notification 20241104-001, die hervorhebt, dass Bedrohungsakteure routinemäßig Regierungs-Postfächer kapern, um betrügerische Vorladungen und Notfallanfragen auszustellen.

• Bedeutungsverlust perimeterzentrierter E-Mail-Sicherheit: Traditionelle E-Mail-Sicherheit verlässt sich auf die Legitimität der Domain. Sicherheitsarchitekturen müssen zu Zero-Trust-Eingangsmodellen übergehen, bei denen die Gültigkeit der Domain keinerlei implizites Vertrauen in die Autorisierung begründet.

Praxiserprobtes defensives Playbook

Sofortige Maßnahmen (0–30 Tage)

• Verpflichtende Out-of-Band-Verifizierung (OOB): Verbot der Erfüllung von Notfalldatenabfragen ausschließlich per E-Mail. Compliance-Mitarbeiter müssen Anfragen verifizieren, indem sie die jeweilige Behörde über offizielle, unabhängig ermittelte Telefonnummern der Zentrale anrufen.

• Zwei-Faktor-Freigabe („Vier-Augen-Prinzip“): Erfordernis einer sekundären Freigabe durch einen Vorgesetzten, bevor unverschlüsselte KYC-Artefakte, Transaktionsprotokolle oder Identitätsdokumente herausgegeben werden.

Nahe Zukunft (30–90 Tage)

• DLP-Begrenzung für ausgehende E-Mails der Compliance: Konfiguration von DLP-Regeln zur Blockierung des direkten E-Mail-Versands von unverschlüsselten Identitätsdokumenten (.pdf, .png, .jpg mit Identitäts-Schlüsselwörtern). Bereitstellung von Daten nur über sichere, authentifizierte Download-Portale mit Audit-Protokollierung.

• Granulare Filter zur Datenminimierung: Festlegung niedrigerer Grenzwerte für EDR-Antwortpakete. Implementierung granularer Offenlegungsrichtlinien, die nur die für die validierte Rechtsgrundlage und den angegebenen Notfallzweck absolut notwendigen Daten freigeben. Vollständige Transaktionsdaten und sensible Identitätsartefakte sollten einer zusätzlichen Autorisierung und dokumentierten Begründung bedürfen, sofern dies rechtlich zulässig ist.

Strategische Maßnahmen (90+ Tage)

• Übergang zu authentifizierten LER-Portalen: Einstellung der direkten Entgegennahme von rechtlichen Anforderungen per E-Mail. Übergang zu authentifizierten Portal-Architekturen, die eine Identitätsföderation der Strafverfolgungsbehörden und eine Überprüfung der digitalen Signatur erfordern.

Authentifizierung des Anforderers

Verifizieren Sie:

• Behörde

• Einzelnen Ermittler

• Offizielle Funktion

• Fall-/Aktenzeichen

• Rechtliche Befugnis

• Notfallbegründung

• Umfang der angeforderten Daten

• Angeforderter Übermittlungsweg

Erst danach die Offenlegung genehmigen.

Quellen

• Financial Times: „Revolut handed nearly 700 customers' data to scammers“ (16. Sept. 2026).

• KELA Cyber Intelligence Center: „Revolut Data Breach: Tracing the Extortion Site Infrastructure“ (15. Sept. 2026).

• City AM: „Revolut hackers stole nearly 700 customers' private data“ (15. Sept. 2026).

• Security Affairs: „Revolut Data Leak May Trace Back to Compromised Italian Government Accounts“ (16. Sept. 2026).

• FBI Private Industry Notification: PIN 20241104-001 (Compromised Government Email Accounts Used to Issue Fraudulent Emergency Data Requests).

• ZachXBT Public Disclosures: On-Chain-Untersuchung und Veröffentlichung der Benachrichtigung über die Datenschutzverletzung (12. Sept. 2026).

Shieldworkz-Bewertung

• Was wir wissen: Die Compliance-Mitarbeiter von Revolut haben vollständige Identitätsdossiers von 680 Premium-Kunden herausgegeben, nachdem sie gefälschte EDRs von einem authentifizierten italienischen Regierungs-Postfach (pec.interno.it) erhalten hatten. Die Kernbanksysteme von Revolut wurden zu keinem Zeitpunkt kompromittiert.

• Was wir wahrscheinlich wissen: Der Angreifer wählte bestimmte HNW-Ziele im Vorfeld basierend auf On-Chain-Telemetriedaten aus und nutzte den EDR-Mechanismus, um pseudonyme Krypto-Adressen physischen Identitäten zuzuordnen.

• Was unbestätigt bleibt: Die genaue Identität der Bedrohungsakteure hinter „Revolut Smilik“ und ob andere regulierte Finanzinstitute identische Anfragen von demselben kompromittierten PEC-Postfach erhalten haben.

• Kryptografische E-Mail-Authentifizierung ist kein Autorisierungsmechanismus. SPF, DKIM und DMARC können zwar belegen, dass eine Nachricht mit einer autorisierten Domain oder Sendeinfrastruktur verknüpft ist, sie belegen jedoch nicht, dass die das Postfach bedienende Person befugt ist, eine rechtliche Anfrage zu stellen, dass das Postfach nicht kompromittiert wurde oder dass die angeforderte Offenlegung rechtmäßig ist.

Der Revolut-Vorfall zeigt, dass Rechts-, Compliance- und Vertrauensprozesse als Teil der Angriffsfläche des Unternehmens betrachtet werden müssen. Ein Angreifer muss nicht immer in eine Datenbank eindringen, wenn das Unternehmen selbst dazu gebracht werden kann, die Datenbankinhalte über einen vertrauenswürdigen Prozess abzurufen und offenzulegen.

 Mutmaßlicher Cyberangriff und US-Untersuchung des VLCC VL Prosperity

Shieldworkz regulatorisches Playbook

Shieldworkz Leitfäden zur Behebung