Revolut: wanneer een officieel adres het paard van Troje wordt

In september 2026 liet Revolut een aantal klanten weten dat een onbevoegde derde hun gegevens had verkregen met frauduleuze informatieverzoeken. De berichten kwamen nochtans van een e-maildomein van een overheidsinstantie. Precies daarom verdient deze zaak aandacht: de aanvaller hoefde geen gat in het banksysteem te forceren. Hij maakte gebruik van het vertrouwen in een kanaal dat officieel leek.

Revolut spreekt over een beperkt aantal getroffen klanten, zonder een cijfer te publiceren. Italiaanse media meldden ongeveer 680 personen en een gecompromitteerde mailbox voor gecertificeerde e-mail. Die details worden nog onderzocht en zijn niet allemaal door de bank bevestigd. De kern staat wel vast: informatie werd verstrekt aan iemand die ze niet mocht ontvangen.

Dit was meer dan één medewerker die op een misleidende link klikte. De zwakte zat in een beslisketen waarin operations, juridische dienst, compliance en het team voor overheidsverzoeken elkaar hadden moeten controleren. Zodra zo’n keten de echtheid van een adres verwart met de rechtmatigheid van een verzoek, is het probleem organisatorisch.

Welke gegevens werden blootgesteld

Volgens het bericht aan getroffen klanten konden de gegevens bestaan uit naam, geboortedatum, post- en e-mailadres, telefoonnummer, kopieën van paspoort of rijbewijs, een verificatieselfie, rekeningafschriften en transactiegeschiedenis. Revolut zegt dat zijn systemen en het geld van klanten niet werden getroffen.

Dat er geen geld rechtstreeks is gestolen, maakt de inbreuk niet gering. Een identiteitsdocument is op zichzelf gevoelig. Samen met een adres, een gezicht, bankgegevens en transacties ontstaat een nauwkeurig financieel profiel. Daarmee kan iemand identiteitsfraude voorbereiden, een geloofwaardige oproep van een vermeende fraudedienst voeren of gerichte druk uitoefenen op een klant van wie de financiële positie zichtbaar is.

De val van een werkelijk officieel kanaal

Openbare informatie uit Italië leidde het onderzoek naar een gecompromitteerde PEC-mailbox. PEC, de Italiaanse gecertificeerde e-mail, levert bewijs van verzending en ontvangst en speelt een belangrijke rol in administratieve communicatie. Zij garandeert niet dat de rechtmatige eigenaar de mailbox nog beheert, dat de persoon aan het toetsenbord de beweerde bevoegdheid bezit of dat een bijlage authentiek is.

Het Italiaanse CERT-AGID zegt dit uitdrukkelijk: de certificering geldt voor de overdracht en aflevering, maar bewijst niet dat de mailbox van de afzender veilig is gebleven. Enkele dagen na de bekendmaking van het Revolut-incident waarschuwde het CERT opnieuw voor malware die via overgenomen PEC-mailboxen werd verstuurd.

Het onderscheid is eenvoudig. Een legitiem domein bewijst hoogstens de onmiddellijke technische oorsprong. Het bewijst geen menselijke identiteit, mandaat, rechtsgrond of toegelaten omvang van de gevraagde gegevens.

Een overtuigend formulier is geen rechtsgrond

Bij de zaak zou ook een document zijn gebruikt dat als Europees onderzoeksbevel werd voorgesteld. Ook daar volstaat de vorm niet. De Europese richtlijn organiseert een procedure tussen bevoegde autoriteiten van de uitvaardigende en uitvoerende staat. Bij bankgegevens moet worden toegelicht waarom de informatie relevant is, welke rekeningen of verrichtingen worden bedoeld en welk recht bij de uitvoering geldt.

De juiste vraag voor een ontvangende organisatie is dus niet of het document er officieel uitziet. Zij moet vaststellen welke autoriteit het uitvaardigde, via welk kanaal het moest worden verzonden, wie het moet erkennen of uitvoeren, welke juridische entiteit de gegevens beheert en of elke gevraagde categorie noodzakelijk is.

Een juridische controle zonder identiteitscontrole laat impersonatie door. Een identiteitscontrole zonder afbakening kan honderd dossiers vrijgeven terwijl er één was toegestaan. De verdediging moet alle bewijzen combineren.

Waar het proces had moeten stoppen

Een robuust proces voor verzoeken van overheden mag niet afhangen van het buikgevoel van een medewerker. Het moet uitzonderingen moeilijk, zichtbaar en omkeerbaar maken.

• Registreer elk verzoek met dossiernummer, betrokken juridische entiteit, beweerde autoriteit, rechtsgrond, betrokken personen, gevraagde velden en periode.
• Verifieer de verzoeker via een tweede, reeds bekend kanaal: een officiële directory, een openbaar centraal nummer of een geregistreerd institutioneel contact. Gebruik daarvoor nooit de contactgegevens uit het ontvangen bericht.
• Laat bevoegdheid en rechtsgrond beoordelen door iemand die de export niet heeft voorbereid. Controleer bij grensoverschrijdende verzoeken ook de voorgeschreven route tussen autoriteiten.
• Eis goedkeuring door twee personen voor identiteitsdocumenten, afschriften of transactiegeschiedenis. Spoed verhoogt het controleniveau.
• Beperk de export tot het toegelaten minimum. Niet uitdrukkelijk gedekte klanten, velden en periodes blijven uitgesloten.
• Gebruik een beveiligde, tijdelijke overdrachtsruimte die aan het dossier is gekoppeld. E-mail hoort geen kanaal voor massa-export te zijn.
• Bewaar een onveranderlijk logboek van verzoek, verificaties, beslissingen, databasequery’s, gemaakte bestanden, ontvanger en het vervallen van de toegang.

Dit geldt ook buiten banken. Een vzw, advieskantoor, IT-dienstverlener of kmo kan identiteitskopieën, loonbestanden, donateurslijsten, back-ups of gezondheidsgegevens bewaren. Een officieel ogend verzoek vindt er soms minder controle en even bruikbare informatie.

Waarom beveiligingstools niet volstonden

Organisaties investeren terecht in e-mailfiltering, multifactorauthenticatie en malwaredetectie. Die middelen beantwoorden vooral de vraag of een account en bericht technisch aannemelijk zijn. In deze zaak was juist het gebruikte account de bron van geloofwaardigheid.

Er was een bedrijfscontrole nodig die zegt: ook als het transport authentiek is, kennen we de bevoegdheid, de juiste procedure en de proportionaliteit nog niet. Dat is de betekenis van organisatorische maatregelen onder de AVG. Vertrouwelijkheid steunt niet alleen op encryptie, maar ook op procedures die onbevoegde verstrekking voorkomen.

Een goede procedure biedt ook een escalatieroute. Als de verzoeker spoed inroept, met sancties dreigt of onafhankelijke verificatie weigert, moet een medewerker de behandeling kunnen pauzeren. Spoed wordt dan een gedocumenteerd risicosignaal.

Na de verstrekking is blokkeren niet genoeg

Revolut zegt dat het het gebruikte adres blokkeerde en de betrokken instantie, politie en toezichthouders waarschuwde. Dat zijn noodzakelijke eerste stappen. Een volledige respons moet ook exact reconstrueren wie welke gegevens ontving, via welke koppeling of welk bestand, gedurende welke tijd en wat werkelijk werd ingezien.

Voor getroffen klanten reikt het risico verder dan hun Revolut-wachtwoord. Een beller kan hun adres, identiteitsdocument en enkele transacties al kennen. Zij moeten ongevraagd contact als potentieel vijandig behandelen, alleen de app of reeds opgeslagen officiële contactgegevens gebruiken, rekeningbewegingen en kredietaanvragen volgen en gerichte dreiging snel melden. Een wachtwoordwijziging kan nuttig zijn, maar trekt geen reeds gelekte paspoortkopie terug.

De organisatie moet eerdere verzoeken via dezelfde route opnieuw onderzoeken, bewijs bewaren, personen informeren op basis van hun werkelijke risico en de nieuwe procedure testen met scenario’s waarin een aanvaller een authentiek maar overgenomen adres gebruikt.

Wat de Revolut-zaak blootlegt

Cyberbeveiliging stopt niet aan de rand van het informatiesysteem. Ze speelt ook op het moment waarop een bevoegde medewerker gegevens exporteert voor een schijnbaar rechtmatig verzoek. Daar moeten techniek, recht, compliance en operations samenkomen.

Revolut beschreef geen inbraak in zijn infrastructuur. Dat maakt deze zaak leerzamer dan een klassieke hack. Een aanvaller vond een deur die voor autoriteiten was voorzien en toonde precies de signalen die de organisatie met vertrouwen associeerde.