Datalek bij broker raakt klanten van Revolut
Historische EER-data stammen van vóór december 2023
Onbekende derden kregen op 4 en 5 september 2026 toegang tot persoonsgegevens van voormalige Revolut-beleggers bij de Amerikaanse broker DriveWealth. DriveWealth en financiële dienstverlener Revolut waarschuwden de getroffen klanten gisteren per e-mail. Het aantal getroffen klanten bleef ongenoemd.
DriveWealth schrijft de toegang tot zijn netwerk toe aan social engineering, waarbij iemand wordt misleid om een aanvaller binnen te laten. Het incident speelde zich af in systemen van de Amerikaanse broker; Revoluts eigen infrastructuur bleef buiten deze toegang.
DriveWealth verzorgde eerder de Amerikaanse aandelenhandel voor klanten van Revolut. Daardoor stonden daar nog historische persoonsgegevens uit die handelsrelatie. Voor klanten in de Europese Economische Ruimte gaat het om gegevens van vóór december 2023, toen Revolut deze groep weghaalde uit de oude constructie met DriveWealth.
Historische gegevens blijven gevoelig
Volgens cryptonieuwssite Protos konden onder meer namen, e-mailadressen, leeftijden, geslacht, staatsburgerschap, postadressen en arbeidsgegevens zijn geraakt. De opsomming komt uit één publiek gedeelde klantmail en wordt daarom aan Protos toegeschreven.
De krant The Irish Times meldt dat sommige Ierse klanten zijn getroffen. Een volledige landenlijst ontbreekt, en voor de Revolut-records bleven kopiëren, publicatie, verkoop, identiteitsfraude en financiële schade onbewezen. Dat onderscheid is belangrijk.
Revolut hield zijn kerninfrastructuur, klanttegoeden en rekeningen volgens Protos buiten schot. De beleggingsplatforms Hatch en Stake meldden afzonderlijk dat gegevens van hun klanten in dezelfde DriveWealth-omgeving waren geraakt. Daarmee trof het incident bij de broker meerdere partners.
Tweede zaak heeft andere ingang
Dit is wel het tweede dataprobleem rond Revolut deze maand. De ingangen verschilden. In de eerdere zaak verstrekte Revolut gegevens na frauduleuze informatieverzoeken die via een echt e-maildomein van een overheidsinstantie waren verstuurd; bij DriveWealth kregen onbekende derden toegang tot het netwerk van een voormalige brokerpartner.
Ook de gemelde kopieën van paspoorten en rijbewijzen en een afpersingsclaim van $3 miljoen in Monero horen uitsluitend bij die eerdere zaak. Twee datalekken in één maand, ieder met zijn eigen deur.