Stel je een mailbox voor bij een compliance-afdeling. Er komt een verzoek binnen van een overheidsinstantie, van een echt overheidsmaildomein. Netjes opgesteld, met de juiste toon. De medewerker doet wat het proces voorschrijft en stuurt de gevraagde klantgegevens terug. Geen malware, geen hack van een database, geen alarm. Zo werkt het lek bij Revolut.
Bij dat incident zijn de gegevens van 680 klanten buitgemaakt, onder wie 36 Nederlanders. Dat aantal bevestigde Revolut na onderzoek van BNR Nieuwsradio, samengevat op Accountant.nl. De buit is breed: namen, geboortedata, beroepen, adressen, telefoonnummers, kopieën van paspoorten en rijbewijzen, verificatieselfies, transactiegegevens en bitcoin-gerelateerde data, zo somt IBgids de gelekte categorieën op. Een deel staat inmiddels online, inclusief paspoortkopieën uit meerdere landen.
De aanval zat in het formulier, niet in de firewall
Technisch is hier weinig indrukwekkends gebeurd. Er is geen zero-day gebruikt, geen kwetsbaarheid in een betaalsysteem. De aanvaller gebruikte het e-maildomein van een legitieme overheidsinstantie en diende daarmee frauduleuze informatieverzoeken in. Dutch IT Channel beschrijft hoe de bank de verzoeken daarom als echt beoordeelde. Dat is de kern: het misbruikte systeem was het proces zelf, het proces dat banken verplicht zijn om te hebben.
Voor wie in security werkt is dit geen exotisch scenario. Een verzoek van een opsporingsdienst komt binnen langs een kanaal dat je niet mag weigeren, met een urgentie die je niet mag negeren, en de controle beperkt zich in de praktijk tot het afzender-domein. Zodra dat domein klopt, valt de rest van de verificatie weg. Precies dezelfde structuur zagen we bij het CEVA-datalek dat via een ketenpartner tientallen merken raakte: niet de zwaarst beveiligde partij is het doelwit, maar de partij die de gegevens mag opvragen.
Revolut had één extra telefoontje moeten plegen
Ons oordeel is hard maar simpel. Een fintech met tientallen miljoenen klanten hoort bij een verzoek om identiteitsdocumenten niet af te gaan op een maildomein. Out-of-band verificatie, een terugbelnummer uit een eigen register in plaats van uit de mail, is geen exotische maatregel maar basiswerk. Revolut blokkeerde het adres onmiddellijk na de ontdekking en waarschuwde de getroffen klanten, en het meldde de zaak bij toezichthouders. Dat is nette nazorg. Maar nazorg repareert geen paspoortkopie die op een lekforum staat.
De aanvallers claimen zelf dat zij maandenlang toegang hadden tot systemen van de Italiaanse politie en dreigen met verdere publicatie als er niet wordt betaald. Die claim is niet bevestigd, en dat hoort er nadrukkelijk bij. Maar of het nu de Italiaanse politie was of een andere instantie: de aanname dat een overheidsdomein gelijkstaat aan een geverifieerde afzender is onhoudbaar geworden.
Minder data bewaren kan niet als de wet die opslag eist
Wij roepen al langer dat organisaties minder gegevens moeten bewaren, en bij dit lek is dat argument zwakker dan het lijkt. De gelekte paspoortkopieën en selfies zijn geen slordigheid van Revolut, het zijn de bestanden die de bank verplicht moet aanleggen voor het Know Your Customer-proces tegen witwassen en fraude. De aanvallers wijzen daar zelf op, en ze hebben een punt dat oncomfortabel is: verplichte identiteitsverificatie maakt van elke financiële dienstverlener een archief van paspoorten. Wie pleit voor minder dataopslag, pleit dus feitelijk voor een andere invulling van KYC, en dat is een gesprek dat veel verder gaat dan dit ene lek. Dat hebben wij eerder te makkelijk weggelaten.
Zet vandaag je Revolut-notificaties op scherp
Ben je Revolut-klant, doe dan vandaag twee dingen. Controleer in de app of je pushmeldingen voor inloggen en voor wijzigingen aan je profiel aan staan, en zet ze aan als dat niet zo is. Een gelekt paspoort plus een gelekt telefoonnummer is de complete grondstof voor een gerichte helpdeskfraude, en die begint bijna altijd met een inlogpoging die jij als eerste ziet. En neem geen enkel telefoontje serieus dat namens de bank om een code vraagt, hoe goed de beller je gegevens ook kent. Dat hij ze kent is nu juist het probleem.
Voor de sector telt vooral het volgende moment: of een toezichthouder de verificatieplicht bij zulke informatieverzoeken gaat vastleggen in plaats van aan de banken over te laten. Tot die tijd blijft de kortste route naar jouw paspoortkopie een mailtje van een domein dat er officieel uitziet. Dat is dezelfde les als bij de gijzeling waarbij losgeld werd geweigerd en de data alsnog op het darkweb belandde, en bij het Trezor-lek via verzendpartner ShipMonk: de aanvaller kiest de deur die openstaat.