Revolut verstrekt klantgegevens na vervalst overheidsverzoek

Het bedrijf Revolut heeft vandaag na een frauduleus overheidsverzoek identiteits- en financiële gegevens van een beperkt aantal klanten verstrekt.

Een onbevoegde derde verstuurde de verzoeken via een e-mailaccount binnen het echte domein van een niet-genoemde overheidsinstantie. De berichten droegen geldige domeinauthenticatie. Revolut hield ze daarom voor authentiek en gaf de gevraagde klantgegevens af. Pas na de verstrekking verifieerde Revolut het verzoek rechtstreeks bij de instantie en ontdekte het onbevoegde account.

De verstrekte stukken konden kopieën van paspoorten of rijbewijzen, verificatieselfies en woonadressen bevatten. Ook bankafschriften en volledige transactiegeschiedenis met bitcoinactiviteit behoorden tot het pakket. De periode van de bitcoinhistorie en de aanwezigheid van externe walletadressen of saldi blijven onbekend.

Klantgeld bleef op zijn plaats

Volgens Revolut bleven toegangscodes, inloggegevens en afgeleide biometrische gezichtsgegevens bij het bedrijf. De selfie die klanten voor de identiteitscontrole hadden ingestuurd, ging wel mee.

Revolut zegt dat zijn systemen en klanttegoeden onaangetast zijn. Tot dusver bleef klantgeld op zijn plaats. De verstrekte documenten en financiële gegevens kunnen later wel worden misbruikt voor phishing, afpersing of identiteitsfraude. Revolut gaf alleen de omschrijving „beperkt aantal” vrij; het precieze aantal en de woonlanden blijven onbekend.

Toezichthouders zijn ingelicht

Het bedrijf heeft naar eigen zeggen de nagebootste instantie, de politie en gegevensbeschermings- en financiële toezichthouders gewaarschuwd. Ook zijn de getroffen klanten benaderd en zegt Revolut voorzorgsmaatregelen te hebben toegepast. Revoluts algemene Britse fraudehulp verwijst klanten naar de klantenservice en adviseert verdachte transacties in de app te melden.

Als de Britse privacyregels op een klant en het verantwoordelijke Revolut-bedrijf van toepassing zijn, moet een meldingsplichtig datalek waar mogelijk binnen 72 uur na bewustwording bij de Britse privacytoezichthouder worden gemeld. Betrokkenen moeten bij waarschijnlijk hoog risico snel worden geïnformeerd.

Voor klanten die onder de Europese privacyverordening vallen, kan vergoeding worden gevorderd voor materiële en immateriële schade, zoals stress, door een schending van de privacywet. Bij onenigheid beslist een rechter over de vergoeding.