Angebliches Revolut-Datenleck: 75 Millionen Datensätze im Darknet zum Verkauf
In einem Cybercrime-Forum bietet ein Krimineller eine Datenbank an, die angeblich 75 Millionen Datensätze von Nutzern der Neobank Revolut enthält. Der Preis liegt bei rund 500 US-Dollar, was für einen derart großen und aktuellen Datensatz auffällig niedrig wäre. Revolut widerspricht der Darstellung deutlich und findet nach eigenen Angaben keine Hinweise auf einen Einbruch in die eigenen Systeme. Vieles spricht dafür, dass es sich nicht um ein akutes neues Datenleck handelt, sondern um eine Sammlung aus verschiedenen Quellen. Trotzdem sollten Revolut-Nutzer wachsam bleiben.
Was angeblich enthalten ist
Der Verkäufer hat als Beleg eine Stichprobe von etwas mehr als 100 Datensätzen veröffentlicht. Forscher von Cybernews haben diese Stichprobe untersucht und in mehreren CSV-Dateien folgende Datentypen gefunden:
- Teilweise Kreditkartendaten: die letzten vier Ziffern, Kartentyp, Ablaufdatum und Kartenstatus wie aktiv, gesperrt oder eingefroren.
- Zugangsdaten: Passwörter, die mit den Verfahren bcrypt oder argon2id gehasht sind, dazu Zeitstempel der letzten Passwortänderung.
- Persönliche Daten: E-Mail-Adressen, vollständige Namen, Telefonnummern, Wohnländer, Adressen, Währung, Registrierungs-IP, Abo-Modell, KYC-Status, einen Risiko-Score, Zeitstempel der letzten Aktivität, monatliche Ausgaben und weitere Kennungen.
Geräteinformationen: Gerätemodelle, Betriebssysteme und Zeitstempel.
In einer weiteren Datei stießen die Forscher zusätzlich auf Bankkontonummern, Nutzer-IDs und SWIFT-Codes. Die Passwörter liegen also nicht im Klartext vor, sondern gehasht. Das erschwert die direkte Übernahme von Konten, schützt aber nicht vor der Weiterverwertung der übrigen Daten.
Warum Zweifel an einem neuen Einbruch bestehen
Die neuesten Einträge der Stichprobe stammen laut Cybernews aus der Zeit um Mai 2025. Einen Bezug zu bereits dokumentierten Revolut-Vorfällen konnten die Forscher nicht herstellen. Das spricht eher für eine Aggregation aus mehreren Quellen als für einen frischen Angriff. Auch die Formulierung des Forenbeitrags deutet in diese Richtung. Der öffentliche Post enthält nach Beobachtung von Analysten weder eine belastbare Datensatzzahl noch technische Details oder Angaben zum Angriffsweg.
Revolut selbst hat die in der Stichprobe enthaltenen Nutzer- und Kartenkennungen mit den eigenen Systemen abgeglichen. Nach Angaben eines Sprechers entsprach keine dieser Kennungen einer gültigen oder echten Revolut-ID. Die Prüfung weiterer Behauptungen dauert an, bislang sieht das Unternehmen keine Anzeichen für eine Sicherheitsverletzung. Revolut verweist zudem auf externe Analysen, die den Datensatz als Zusammenstellung aus verschiedenen Quellen einordnen.
Was das für Betroffene bedeutet
Auch wenn die 75-Millionen-Zahl unbestätigt ist und viel für eine Sammlung alter Daten spricht, bleibt ein reales Risiko. Selbst zusammengetragene und ältere Informationen lassen sich mit weiteren Daten verknüpfen und dann für gezieltes, gut getarntes Phishing missbrauchen. Die Kombination aus Namen, Kontaktdaten, Geräteinformationen und teilweisen Kartendaten ist genau das Material, mit dem Angreifer glaubwürdige Betrugsnachrichten bauen und versuchen, an vollständige Zahlungsdaten zu kommen.
Revolut stand schon einmal in den Schlagzeilen. 2022 traf ein gezielter Angriff über 50.000 Kunden. Das zeigt, dass die Plattform ein attraktives Ziel ist, unabhängig davon, ob der aktuelle Datensatz echt ist.
- Keine Links oder Telefonnummern aus unaufgeforderten Nachrichten verwenden. Die App oder die offizielle Website direkt aufrufen.
- Zwei-Faktor-Authentifizierung aktivieren, sofern noch nicht geschehen.
- Ein starkes, einzigartiges Passwort für das Revolut-Konto nutzen und es bei Unsicherheit ändern.
- Letzte Transaktionen und die verknüpften Geräte im Konto überprüfen.
- Verdächtige Aktivitäten über die offiziellen Revolut-Kanäle melden.