Bedragare mejlade Revolut från en äkta myndighetsdomän och bad om kunduppgifter. Banken svarade med passkopior, hemadresser och telefonnummer, och enligt kundbrevet kan även selfies och hela transaktionshistoriken ha följt med. Ingen behövde hacka något.
Revolut lämnade ut kunders pass och adresser till bedragare
Fintechjätten Revolut bekräftar att känsliga kunduppgifter lämnats ut till en obehörig part. Bedragarna skickade sina förfrågningar från en riktig myndighetsdomän, inte en förfalskad adress, och passerade därmed bankens kontroller, rapporterar TechCrunch.
”Revolut identifierade nyligen ett sofistikerat externt bedrägeri där en obehörig tredje part använde en legitim myndighetsdomän för att skicka falska förfrågningar om information”, säger en talesperson för banken till TechCrunch.
Det som lämnades ut är födelsedatum, postadress, mejladress, telefonnummer och kopior av pass och körkort. Dessutom kan verifieringsselfies, kontoutdrag och transaktionshistorik ha lämnats ut, enligt TechCrunch.
Kryptoutredaren ZachXBT, som spred bankens kundbrev på Telegram, räknar även upp yrke, Iban, uttagshistorik och fullständig transaktionshistorik inklusive bitcoin.
Hur många kunder som drabbats har banken inte uppgett. ”Ett begränsat antal”, lyder beskedet. Systemen och kundernas pengar är opåverkade, enligt Revolut.
Bitcoinhistoriken kopplad till hemadressen
Pengarna på kontona är alltså orörda. Värdet ligger i uppgifterna. ZachXBT bedömer att läckan sannolikt är begränsad i omfattning men verkar ha riktats mot förmögna kunder.
Den som sitter på en komplett transaktionshistorik ser exakt hur mycket bitcoin offret köpt, sålt och tagit ut via Revolut. Den som dessutom har passkopia och postadress vet vem personen är och var den bor.
Revolut varnar de drabbade för riktad phishing, identitetsstöld och SIM-swapping, där bedragare kapar mobilnumret för att komma åt engångskoder. Kunderna uppmanas att på egen hand verifiera oväntade kontakter och bevaka sina konton.
En miljon svenskar har appen
Revolut har omkring en miljon appanvändare i Sverige. Banken öppnar svensk filial under 2026 och lanserar då Swish, Bankgiro, Bank-ID och svenskt Iban.
Sverigechefen Philip Hallsmar vill bli kundernas enda bank, inte bara ett komplement för utlandsresor. Målet är 3 miljoner svenska kunder 2030.
Banken har inte uppgett i vilka länder de drabbade bor. Enligt Revolut har alla berörda kontaktats direkt. Har du inte fått något mejl från banken ska du alltså inte vara drabbad, enligt bankens egen beskrivning.
Så gör du som Revolut-kund
Kolla mejlen, inklusive skräpposten. Har du fått brevet gäller Revoluts råd fullt ut. Behandla varje samtal och mejl som nämner ditt konto som misstänkt, även när avsändaren har rätt uppgifter.
Det är själva poängen med läckan. Bedragarna behöver inte längre gissa, de har dina riktiga uppgifter.
Lita aldrig på att ett mejl kommer från den avsändare som står i fältet. Det var exakt den fällan Revolut själva gick i.
Inte första gången
I september 2022 kom hackare åt namn, kortuppgifter och adresser till över 50 000 Revolutkunder. Då krävdes ett intrång. Den här gången räckte ett mejl.
Banken har dessutom historik hos tillsynsmyndigheterna. I fjol tvingades ECB ingripa och stoppa nya produktlanseringar tills Revolut åtgärdat brister i sin regelefterlevnad. I Storbritannien toppade Revolut 2024 statistiken över bedrägerianmälningar bland finansbolag, enligt Financial Ombudsman Service.
Vd Nikolay Storonsky siktar på en börsnotering 2028 med en värdering på upp till 200 miljarder dollar, drygt 2 000 miljarder kronor. ”Vi är en bank, och för en bank är det oerhört viktigt att ha förtroende”, sa han till Bloomberg i april.
Revolut uppger att banken blockerat avsändaradressen och kontaktat den utnyttjade myndigheten, polis, dataskyddsmyndigheter och finansiella tillsynsmyndigheter. Vilken myndighet bedragarna utgav sig för att vara har banken ännu inte berättat.
