coindesk.com
Eine gefälschte Regierungs-E-Mail gelangte am späten Freitag trotz der Sicherheitskontrollen beim digitalen Bankengiganten Revolut durch und enthüllte Wohnadressen, Identitätsdokumente sowie Bitcoin-Transaktionsverläufe einer großen Kundengruppe.
Die Anfrage schien von einer legitimen Regierungsbehörde zu stammen und enthielt Zugangsdaten, die die Prüfungen von Revolut bestanden. Das Unternehmen übermittelte Kundendaten, bevor es die Behörde separat kontaktierte und entdeckte, dass die Anfrage betrügerisch war, wie aus Mitteilungen an betroffene Nutzer hervorgeht.
Die Dateien enthielten Berichten zufolge Pässe oder Führerscheine, Verifizierungs-Selfies, Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen, Telefonnummern, IBANs, Kontoauszüge, Auszahlungsnachweise und vollständige Transaktionsverläufe, einschließlich aller Bitcoin-Aktivitäten.
Revolut hat bisher nicht bekanntgegeben, wie viele Kunden betroffen sind, und reagierte nicht umgehend auf eine Anfrage von CoinDesk zu diesem Thema.
Es wurde in der E-Mail mitgeteilt, dass die Kundengelder sicher geblieben sind und betroffene Nutzer sowie Regulierungsbehörden inzwischen informiert und die Quelle der Anfrage blockiert wurde.
Der Schwachpunkt lag in der Autorisierung. Sobald die Anfrage die internen Prüfungen von Revolut durchlaufen hatte, erhielt eine Person, die sich als Regierungsbeamter ausgab, Zugang zu denselben höchst persönlichen Informationen, die die Bank zur Erfüllung der Identitäts- und Compliance-Anforderungen gesammelt hatte.
Solche Verstöße werden in einem von KI geprägten Internet zunehmend schwieriger.
Überzeugende E-Mails, Dokumente, Identitäten und bürokratische Anfragen werden zunehmend kostengünstiger in großem Umfang zu erstellen, während Finanzunternehmen weiterhin immer detailliertere Aufzeichnungen darüber führen, wer ihre Kunden sind, wo sie leben und wie sie Geld bewegen.
Die Sicherheitsverletzung verschafft ebenfalls Datenschutztechnologien wie Zero-Knowledge-Beweise ein unmittelbarerer Anwendungsfall. ZK-Systeme können es ermöglichen, nachzuweisen, dass eine Identitätsprüfung durchgeführt wurde oder dass ein Kunde eine bestimmte Anforderung erfüllt, ohne dabei mehr vom Reisepass, der Adresse oder anderen zugrundeliegenden Informationen preiszugeben, die zur Feststellung verwendet wurden.
Weiterlesen: Das Datenschutz-Paradoxon: Regulierung der Zero-Knowledge-Finanzierung in der EU und darüber hinaus
Bitcoin macht den Kontrast besonders deutlich. Seine Blockchain zeichnet Transaktionen öffentlich auf, während persönliche Daten wie Reisepass, Wohnadresse oder Beruf außerhalb des Netzwerks liegen. Finanzintermediäre können diese beiden Informationssätze miteinander verbinden und so eine Kundendatenbank in eine Karte verwandeln, die eine reale Person mit ihrer Onchain-Aktivität verknüpft.
Der Onchain-Ermittler ZachXBT, der auf den Vorfall aufmerksam gemacht hatte, erklärte in einer Telegram-Sendung, dass der Verstoß offenbar in seinem Umfang begrenzt sei und möglicherweise auf vermögende Nutzer abgezielt habe.
Da KI die Nachahmung erleichtert, verlagert sich die Sicherheitsfrage von der Frage, wie gut Institutionen Kundendaten schützen, hin zu der Frage, wie viele sensible Informationen sie überhaupt sammeln, speichern und offenlegen müssen.