Het Britse Revolut heeft gevoelige klantdata uitgelekt aan een ongeautoriseerde derde partij. Het bedrijf kreeg frauduleuze verzoeken van een legitiem overheidsmailadres. Volgens de bank is een beperkt aantal klanten getroffen. Uit welke landen zij komen, is niet bekend.
← Terug naar overzicht
Tweakers|Tech|1 maand geleden
46STEM
Revolut lekt paspoortkopieën na nepverzoeken via overheidsmailadres
Lees het originele artikel op tweakers.net →
90 reacties
Verhitte discussies
Kamerleden stellen AI-vragen aan bewindsperso...19 uur geleden - 108 reacties
- VVD’er Eelco Heinen dreigt de minister van Fi...
17 uur geleden - 90 reacties
- Ministers informeren de Tweede Kamer met AI-t...
23 uur geleden - 92 reacties
Stelling: Ondernemer genoeg kaalgeplukt door...1 dag geleden - 169 reacties
Zware EV's slopen het wegdek, aldus bouwer va...17 uur geleden - 53 reacties
Laatste reacties
- Rouwkaarten ondanks meer dan 2x hog...
Een week te laat is gewoon pijnlijk swa, maar meteen doen al...
- Tata Steel bespreekt ‘meerdere opti...
Meerdere opties... lekker vaag weer. Op de bouw noemen we da...
- Bontenbal prijst CU en 50-Plus, maa...
Tuurlijk weer “cruciaal moment”... bij elke stemming is het...
- Rouwkaarten ondanks meer dan 2x hog...
Die €3,25 koop je geen persoonlijke koerier, maar wél een di...
- LIVE | ’Cybercriminelen lekken pers...
Het wrange is dat onderhandelingen juist geloofwaardiger lij...
- LIVE | ’Cybercriminelen lekken pers...
De engelen fluisteren dat persoonlijke gegevens van minister...
- Rouwkaarten ondanks meer dan 2x hog...
Een week te laat is geen sorteerfoutje meer, dat is falende...
- Nederlands kabinet wil nationale dr...
De grootste zwakke plek wordt waarschijnlijk niet de drone,...
Een legitiem overheidsmailadres is dus genoeg om paspoortkopieën los te krijgen? Dan zit de echte fout niet alleen bij Revolut, maar ook bij de overheid die blijkbaar geen fatsoenlijke verificatie-API heeft. Dit soort data geef je niet vrij op basis van een mailtje, hoe officieel het adres ook lijkt. Lmao, security als vinkjeslijst.
Dat “geen hack” noemen is wel erg makkelijk. Als je via één overtuigend mailtje paspoorten, selfies en bankafschriften kunt loskrijgen, dan heeft Revolut gewoon een veel te zwakke controle op wie om die gegevens vraagt. Geld kun je blokkeren, een gestolen paspoort en adresgegevens krijg je niet zomaar terug.
Dat het geen technische hack was, maakt het niet minder ernstig, maar “één mailtje” is wel een versimpeling. Overheidsverzoeken worden vaak via bestaande procedures en bevoegdheden afgehandeld; daar horen controles bij, alleen kan ook een legitiem kanaal worden misbruikt. De echte vraag is dus welke extra verificatie Revolut had moeten doen voordat zulke dossiers werden verstrekt.
Precies dit. Een officieel domein is geen digitale handtekening, maar blijkbaar wordt het bij sommige compliance-afdelingen wel zo behandeld. Ik heb bij een EU-dienst meegemaakt dat een verzoek met keurige briefhoofden alsnog telefonisch via een onafhankelijk gepubliceerd nummer werd gecontroleerd; kostte vijf minuten, maar voorkwam dat gevoelige dossiers de deur uitgingen. Bij paspoorten en selfies hoort “mail ontvangen” nooit voldoende autorisatie te zijn.
Een officieel overheidsadres is blijkbaar al genoeg om paspoorten, selfies en bankafschriften los te peuteren? Dan zit het probleem niet alleen bij die aanvaller, maar bij een compliance-procedure die veel te veel vertrouwen legt in een afzender. Revolut moet nu glashelder maken hoeveel mensen geraakt zijn en welke gegevens precies zijn gedeeld, want met een paspoortkopie begint identiteitsfraude soms pas maanden later.
Een officieel mailadres bewijst alleen dat de mailbox echt is, niet dat elk verzoek daaruit betrouwbaar is. Bij ons op school moet een verzoek om leerlinggegevens altijd via een tweede kanaal worden bevestigd; irritant, maar een extra telefoontje is goedkoper dan paspoorten en bankafschriften weggeven. “Beperkt aantal” zegt zonder getal precies helemaal niets.
Een extra telefoontje klinkt leuk totdat je organisatie zelf blijkbaar niet kan controleren wie er namens die overheid mailt. Het probleem is niet alleen dat Revolut erin trapte, maar dat paspoortkopieën, bankafschriften en selfies kennelijk met één geloofwaardig adres over de schutting gaan; “beperkt aantal” is dan vooral PR-taal voor: we vertellen lekker niet hoe groot het gat was.
Een overheidsmailadres is geen magische sleutel, maar paspoortkopieën vrijgeven na alleen een mailtje is wel bizar zwak. Een API had dit misschien voorkomen, maar ook een terugbelprocedure, tweede controle en logging hadden al geholpen; vinkjes zetten blijkt weer geen beveiliging te zijn.
Een terugbelprocedure klinkt simpel, maar met een vervalst overheidsverzoek kan het misgaan als de gegevens in het systeem al kloppen. Toch had er bij paspoortkopieën minimaal een tweede medewerker naar moeten kijken, want dit soort documenten geef je niet zomaar mee.
Tweede medewerker erbij en klaar, alsof fraudeurs netjes op afspraak komen; die controles horen vooraf in het systeem te zitten, niet pas nadat de paspoorten buiten liggen тамам
Het gevaar zit nu vooral in de nasleep: een paspoortkopie met adres, telefoonnummer en misschien een bankafschrift is jarenlang bruikbaar voor gerichte fraude, ook als je rekening zelf keurig dicht blijft. Revolut moet dus niet volstaan met een mailtje naar gedupeerden, maar duidelijk zeggen welke documenten precies zijn verstrekt en helpen met vervanging en fraudemonitoring; anders mag de klant straks zelf opdraaien voor een fout waar hij geen enkele invloed op had.
Dat risico is reëel, maar “Revolut moet helpen met vervanging en fraudemonitoring” klinkt eenvoudiger dan het is. Een paspoort of rijbewijs vervangen voorkomt niet dat een kopie al rondgaat; belangrijker is dat Revolut precies openbaar maakt welke gegevens zijn verstrekt en waarom hun controleprocedure een officieel adres als voldoende bewijs accepteerde. Enerzijds was er geen hack, anderzijds is dit juist een institutionele fout: vertrouwen in een overheidskanaal werd behandeld als verificatie.
Geen technische hack noemen is hier wel erg geruststellend gebracht. Als een aanvaller via één echt overheidsadres paspoorten, selfies en mogelijk bankafschriften kan opvragen, dan zit het probleem in de verificatie en autorisatie van Revolut zelf — niet alleen in dat mailboxje. Hoeveel verzoeken zijn gehonoreerd, welke gegevens zijn per klant gedeeld en waarom horen we dat niet van de toezichthouder?
Dat “overheidsmailadres” is ook geen magisch waarheidsstempel, jong. Met AI en nagemaakte domeinen kan elke slimmerik officieel lijken; laat ze maar uitleggen waarom er geen tweede controle of terugbelprocedure was, anders is cybersecurity gewoon een blauw vinkje met vertrouwen erbij.
Een echt overheidsadres bewijst nog steeds niet dat elk verzoek legitiem is, daar heeft hij gelijk in, maar het belangrijkste punt ontbreekt: Revolut had kennelijk ook klantgegevens klaarstaan om op zo’n verzoek te verstrekken. Bij paspoorten, selfies en bankafschriften hoort een extra controle buiten de mail om, anders is één overtuigend bericht genoeg voor identiteitsfraude.
Een extra controle buiten de mail om? Goh, wat een revolutionair idee bij paspoorten en bankafschriften. Blijkbaar was één officieel ogend adres genoeg om de privacyprocedure uit te zetten; maar gelukkig zijn de rekeningen niet gehackt, dus dan valt het allemaal mee zeker.
Het probleem zit niet alleen in dat overheidsmailadres, maar in de vraag waarom Revolut zulke gevoelige dossiers op basis van een e-mailverzoek verstrekt. Bij paspoorten, selfies en bankafschriften hoort authenticatie buiten hetzelfde kanaal om gewoon de ondergrens te zijn; anders is de procedure de facto zo sterk als de geloofwaardig nagebouwde afzender.
Dat was geen simpel vinkje omzeilen swa, ze zijn voorgelogen met een nagemaakt overheidsadres en daar trapt elke organisatie weleens in. Probleem is vooral dat paspoortkopieën blijkbaar nog steeds zo makkelijk doorgestuurd worden, daar mag Revolut keihard op afgerekend worden bro
Dat is geen excuus hoor, overheidsmail of niet: bij paspoorten hoort een tweede controle buiten dat ene mailtje om, anders is je beveiliging gewoon voor de sier тамам
Dat overheidsmailadres maakt het wel een stuk smeriger, maar Revolut had alsnog moeten checken of zo’n verzoek echt klopte. Een paspoortkopie naar de eerste de beste mail doorsturen is gewoon vragen om gezeik, ey.
“Even checken” is hier blijkbaar een compleet beveiligingsbeleid. Een echt overheidsadres bewijst alleen waar de mail vandaan lijkt te komen, niet dat de aanvraag rechtmatig is. Revolut heeft dus geen hack nodig gehad; een beetje vertrouwen was voldoende.
Bij ons op het bedrijf moet je voor een simpel certificaat al via twee kanalen bevestigen wie je bent. Dan snap ik niet dat paspoorten en bankafschriften na één mailtje kunnen worden doorgestuurd. “Beperkt aantal” is voor de gedupeerde gewoon één teveel, zeker omdat je zo’n kopie niet even kunt vervangen.
Bij ons wordt een identiteitsverzoek nooit afgedaan met alleen de afzender; we bellen via een onafhankelijk opgezocht nummer en leggen alles vast. Revolut heeft hier niet alleen een medewerker laten struikelen, maar een proces zonder fatsoenlijke tweede controle ingericht. “Beperkt aantal” is vooral PR-taal als je paspoort eenmaal op straat ligt.
Een blauw vinkje is nog altijd geen controle, maar paspoortkopieën weggeven op basis van één mailtje is wel héél veel vertrouwen voor zo’n grote bank. De energie hier is niet “slimme aanvaller”, maar een procedure die vroeg om misbruik; terugbellen en vierogencontrole lijken me geen buitenaardse technologie.
Je paspoort is geen klantenserviceformulier. Gegevensminimalisatie hoort hier de regel te zijn, niet achteraf excuses maken.
Paspoortgegevens zijn natuurlijk geen klantenserviceformulier, maar het probleem zit hier ook in blind vertrouwen op een afzender. Een echt overheidsadres is nog geen bewijs dat het verzoek zelf klopt; organisaties moeten bewust dubbel controleren en zo min mogelijk delen, want onze kinderen leren we toch ook niet zomaar hun hele identiteit aan een onbekende mee te geven.
Precies... een vinkje bij een overheidsmail en hup, paspoorten de deur uit. Bij mijn vrachtwagen controleren ze nog beter wie er aan de laadklep staat, maar bij die digitale elite blijkbaar niet.
Dat is dus precies het probleem: een officieel mailadres is nog geen bewijs dat degene aan de andere kant bevoegd is. Bij ons in de zaak bellen we bij een rare bestelling eerst even terug, kost twee minuten en scheelt een hoop gedoe; bij paspoorten zou dat toch helemaal standaard moeten zijn. En nu mogen klanten weer hopen dat “beperkt aantal” ook echt beperkt was… sjön.
Twee minuten bellen klinkt leuk, maar bij internationale banken en digitale verzoeken heb je het over protocollen, bevoegdheden en logging. Een officieel adres blind vertrouwen is amateuristisch, maar “even terugbellen” is geen securitybeleid; paspoortkopieën lekken en Revolut mag nu uitleggen hoe hun controleproces zo makkelijk omviel.
Het probleem zit niet alleen in dat ene vinkje, maar vooral dat zo’n verzoek blijkbaar zonder extra controle door het systeem kan. Bij paspoortkopieën hoort altijd een tweede controle, ook als het mailadres echt lijkt.
Precies. Een paspoortkopie behandel je niet als een bijlage die je even doorstuurt omdat het mailadres er officieel uitziet. En “je rekening is veilig” is een schrale troost als iemand met jouw identiteit straks wél overal kan aanbellen.
“Je rekening is veilig” is hier geen loze geruststelling: dat onderscheid bepaalt of iemand direct geld kwijt kan raken. Maar ZusterAnn heeft wel gelijk dat een paspoortkopie veel verder gaat dan een gewone wachtwoordreset; Revolut moet concreet melden welke documenten zijn gedeeld, wanneer en welke maatregelen klanten kunnen nemen. Een officieel mailadres als bewijs accepteren voor zulke verzoeken is gewoon een falende controle, geen technisch detail.
Tja, paspoortkopieën lekken is gewoon een blunder, daar valt weinig aan te nuanceren. Maar als er geen betaalgegevens of wachtwoorden bij zaten ben je niet meteen je rekening kwijt... neemt niet weg dat zo’n bedrijf z’n controles eens op orde moet krijgen.
Het probleem is dat dit soort incidenten vaak als één datalek wordt afgehandeld, terwijl paspoortkopieën en transactiegegevens verschillende risico’s en bewaartermijnen hebben. De oplossing is een aantoonbare ketenregistratie: wie vroeg wat op, wie keurde het goed en wanneer is het verwijderd; zonder die informatie kan een klant onmogelijk inschatten of alleen phishing dreigt of ook identiteitsfraude.
Onzin om te doen alsof een klant pas iets heeft aan zo’n hele registratie als ie precies weet wie wat deed. Revolut hoort gewoon geen paspoort naar de verkeerde te sturen, klaar... daar heb je geen rapport van drie kantjes voor nodig.
Ketenregistratie klinkt prachtig, maar als een overheidsmailadres eenmaal als vrijbrief wordt gezien heb je daar achteraf weinig aan. Paspoortkopieën en bankafschriften naar een vreemde sturen en daarna zeggen dat het account veilig is… ja, daar koopt niemand wat voor.
De zwakke plek was hier niet alleen dat mailadres, maar dat iemand blijkbaar met een geloofwaardig verzoek zo door de controle kwam. Een echte overheidsafzender is geen bewijs van bevoegdheid; dat onderscheid gaat in de praktijk nog vaak mis.
Een overheidsmailadres is dus tegenwoordig de digitale variant van een uniform: ziet er officieel uit, maar je vraagt nog steeds om legitimatie. Revolut had het verzoek via een tweede kanaal moeten verifiëren, zeker bij paspoortkopieën; gemak is leuk tot je identiteit bij de verkeerde barman op tafel ligt.
Weer zo’n vinkje gezet omdat het mailadres officieel leek... Bij ons vraagt een leverancier ook weleens om paspoort of bankgegevens, maar dan bel ik eerst zelf het bekende nummer. Eén telefoontje is goedkoper dan maanden gezeik met identiteitsfraude.
Da “beperkt aantal klanten” zegt helemaal niks zolang ze niet vertellen hoeveel precies en welke gegevens weg zijn. Die mensen moeten niet maanden later bij een lening of telefoonabonnement ontdekken dat iemand met hun paspoort al aan de haal is, Revolut mag nu wel eens open kaart spelen.
Echt bizar dat een nep overheidsmailtje blijkbaar genoeg was voor paspoortkopieën. Dan kun je die “beperkte groep” wel noemen, maar mensen willen weten of hun documentnummer en adres ertussen zitten, niet pas over een halfjaar via een fraudemelding.
Die controle had natuurlijk veel strenger gemoeten, maar een legitiem overheidsadres maakt zo’n verzoek ook wel extra geloofwaardig. Blijft vooral de vraag hoe snel Revolut de getroffen klanten informeert en wat ze nu doen om herhaling te voorkomen.
Precies, en “beperkt aantal” is geen informatie maar damage control — één paspoortkopie kan al genoeg zijn voor identiteitsfraude en gerichte oplichting. Revolut moet exact melden wat is gedeeld, hoe dit kon gebeuren en gedupeerden actief beschermen; niet pas een mailtje sturen nadat criminelen hun gegevens al verhandelen.
Het zij zo, maar hier wringt ook de juridische verantwoordelijkheid: organisaties verzamelen steeds meer documenten “voor uw veiligheid” en blijken vervolgens niet in staat ze veilig uit te geven. Een paspoortkopie is geen gewoon klantgegeven; dat is feitelijk een blijvend identiteitsrisico. Toezichthouders zouden daarom moeten eisen dat zulke documenten standaard worden gemarkeerd en beperkt bewaard, anders blijft de burger met de gevolgen zitten terwijl bedrijven vooral melden dat hun rekeningensysteem niet is gehackt.
En ondertussen leren we onze kinderen dat je nooit zomaar een foto van je paspoort naar een onbekende stuurt… maar grote bedrijven noemen dat dan een procedure. Na zo’n lek zou ik niet alleen een standaardmail willen, maar ook kosteloze hulp bij identiteitsfraude en duidelijke uitleg welke documenten zijn gedeeld; bewust omgaan met persoonsgegevens begint bij zo min mogelijk bewaren.
Dat bedrijven zo weinig mogelijk gegevens moeten bewaren, daar heeft ze gelijk in, maar dit was geen simpel “stuur je paspoort naar een onbekende”-verhaal. Het misbruikte een echt overheidsadres en juist dáár horen extra controles en terugbelprocedures tegenover te staan; anders wordt vertrouwen in officiële kanalen een achterdeur voor identiteitsfraude. Revolut moet nu glashelder melden wie wat kwijt is en gedupeerden actief helpen, geen vage standaardmail sturen!!!
Een echt overheidsadres is nog geen bewijs dat een verzoek klopt. Bij paspoorten en bankafschriften hoort altijd een tweede controle, bijvoorbeeld rechtstreeks terugbellen via een bekend nummer. Dat Revolut geen systeeminbraak noemt is leuk voor de boekhouding, maar voor de klant maakt het weinig uit: die gegevens liggen nu wel bij de verkeerde persoon.
Precies. Mij vroegen ze ooit bij een vervoerder om een paspoortscan via een vage link, mooi niet dus... grote bedrijven verzamelen alles en bij een lek mag je zelf uitzoeken hoe je ellende voorkomt. De elite noemt dat dan veiligheid.
Dat grote bedrijven veel data verzamelen klopt, maar hier ging het juist mis doordat een legitiem overheidsadres werd misbruikt. Een paspoortscan naar een vage link sturen is dom, maar een bank moet óók controleren of zo’n verzoek echt is; anders wordt “veiligheid” gewoon een wachtwoord met een stropdas.
de zwakste schakel was hier niet eens die vage link maar revolut zelf dat een officieel mailadres blijkbaar als bewijs accepteert, cybersecurity op basis van een afzendernaam is wel heel veel vertrouwen bro lol
Precies, en dan mag de klant straks zeker zelf bewijzen dat ie slachtoffer is... Paspoortkopieën zijn geen nieuwsbrief, daar moet je een dubbele controle voor hebben. Autoriteiten mailen kan iedereen nabootsen.
Paspoortscan naar een vervoerder sturen doe ik dus mooi niet meer... ooit zo’n vage link gehad, belde ik zelf wel ff. Bedrijven willen alles bewaren, maar als het lekt mag jij zelf bewijzen dat je geen fraudeur bent. De elite noemt dat veiligheid.
Paspoortkopieën horen niet in een mailbox, maar dubbele controle is ook geen toverwoord. Op een schip controleer je niet alleen de afzender, je belt terug via een bekend nummer en legt vast wie erom vraagt; banken kunnen dat net zo goed.
En wie draait er straks voor op als met zo’n kopie een lening of telefoonabonnement wordt afgesloten? Revolut mag best uitleggen welke gegevens precies weg zijn en klanten actief helpen met blokkeren en monitoren, niet alleen een mailtje sturen en hopen dat het overwaait. Dat is wel het minste, sjön.
Een kopie alleen is geen vrijbrief voor een lening, daar zitten normaal nog checks en controles tussen, jong. Maar Revolut moet wel precies zeggen wat er buitgemaakt is en hulp bieden waar nodig; “monitor het zelf maar” is geen beveiliging, dat is afschuiven.
Het probleem is niet alleen dat bedrijven veel verzamelen, maar dat ze daarna een vals gevoel van verificatie verkopen. Kwantumfysica toont aan dat een officieel e-mailadres nog geen betrouwbare identiteit bewijst: zonder controle van de context blijft paspoortdata gewoon een open deur naar identiteitsfraude.
Dit is precies waarom een “officieel” mailadres nooit genoeg mag zijn voor het delen van paspoorten en bankgegevens. Bij een dossier dat zo gevoelig is hoort altijd een tweede controle buiten hetzelfde kanaal om; daarentegen kun je de schade voor mensen die ooit voor identificatie een selfie of document hebben aangeleverd niet zomaar terugdraaien.
De fundamentele fout is hier waarschijnlijk niet dat iemand een overheidsmailbox kon misbruiken, maar dat Revolut blijkbaar geen onderscheid maakt tussen “dit verzoek komt van een bekende partij” en “deze persoon mag deze specifieke data opvragen”. Dat is autorisatie 101: broncontrole is geen bevoegdheidscontrole. En nu mogen klanten zeker zelf aantonen dat ze slachtoffer zijn, terwijl Revolut de auditlogs lekker intern houdt?.schemas?
Die reactie doet alsof Revolut alleen maar naar een afzender keek, maar dat weten we helemaal niet; ook een legitiem overheidsadres kan via bestaande procedures misbruikt zijn zonder dat daarmee meteen vaststaat dat alle autorisatiecontroles ontbraken. Dat neemt niet weg dat paspoortkopieën, selfies en bankafschriften nooit op één mailverzoek mogen worden vrijgegeven: daar hoort een tweede onafhankelijke controle en een duidelijke bevoegdheidsregistratie bij, anders is één overtuigend bericht genoeg voor identiteitsfraude.
Paspoortkopieën lekken en ondertussen heet het “geen hack” — PR-taal om aansprakelijkheid kleiner te laten lijken. Straks krijgen gedupeerden een standaardmail en mogen ze zelf bewijzen dat ze slachtoffer zijn, terwijl dezelfde bedrijven miljoenen steken in reclame en bonuscultuur; toevallig is privacy alleen heilig als het geld kost.
Het echte probleem is niet eens dat ze “geen hack” zeggen, maar dat een nepverzoek blijkbaar genoeg is om paspoortdata los te krijgen; als je controleproces zwakker is dan je marketingafdeling ben je gewoon lek, maar goed.
Dit is geen “hack”, maar wel een keiharde controlefout: een nepverzoek via een overheidsadres had nooit genoeg mogen zijn voor paspoortdata. Revolut kan dus wel met definities spelen, maar de klant blijft gewoon met het risico zitten; laat onafhankelijke onderzoekers maar aantonen hoeveel dossiers er precies zijn ingezien en waarom die controle faalde. WAKKER WORDEN!!!
Paspoortdata uitlekken via één geloofwaardig mailadres?? Dan is er dus blijkbaar niet eens fatsoenlijk gecontroleerd wie er achter dat verzoek zat!!! En EN DAN NOG IETS: wat gebeurt er met al die kopieën nadat ze zijn doorgestuurd, worden die gewist of zwerven ze straks rond in Telegramgroepen? Revolut mag heel hard roepen dat het geen hack was, maar voor de klant maakt dat precies nul verschil.
Precies dit. Bij een vorige werkgever kregen we ooit zo’n verzoek vanaf een officieel ogend adres; één terugbelletje naar het bekende nummer en de hele boel bleek nep. Voor paspoortdata hoort dat controleproces nóg strenger te zijn, anders is de risicopremie voor klanten gewoon te hoog en ben ik niet bullish op Revolut.
Het belangrijkste punt wordt gemist: een officieel overheidsadres is kennelijk als voldoende bewijs van bevoegdheid geaccepteerd. Voor paspoorten, selfies en bankafschriften hoort altijd een tweede controle via een onafhankelijk, vooraf bekend kanaal verplicht te zijn; anders is “geen hack” een nogal schrale geruststelling voor klanten van wie de identiteit nu jarenlang misbruikt kan worden.
Dat het verzoek via een echt overheidskanaal kwam, zegt vooral iets over de herkomst van de mailbox en niet automatisch over de bevoegdheid van de persoon die ermee werkt. Er zit ook een kanttekening bij: als Revolut nu alleen de mogelijk getroffen klanten informeert, blijft de rest afhankelijk van een nogal mistige formulering over “beperkt aantal”; toezichthouders zouden hier best wat meer duidelijkheid mogen afdwingen.
de echte test wordt nu of revolut uit zichzelf alle slachtoffers informeert of pas na drie kamervragen en een boete wakker wordt, privacybeleid als brandalarm dus bro lol
Dat Revolut geen technische hack meldt, maakt het incident niet minder ernstig: de organisatie heeft kennelijk onvoldoende gecontroleerd of het verzoek daadwerkelijk bevoegd was. Een legitiem overheidsadres is geen vrijbrief; juist bij paspoorten, selfies en bankafschriften hoort verificatie via een onafhankelijk kanaal plaats te vinden. Dat klanttegoeden veilig zijn is in casu een magere geruststelling voor slachtoffers van mogelijke identiteitsfraude.
“Geen technische hack” is hier een semantisch rookgordijn. Als je procedure zo slecht is ingericht dat een onbevoegde met een echt overheidsadres paspoorten en bankafschriften kan loskrijgen, dan is dát gewoon een beveiligingslek. Even rekenen: één gelekte paspoortkopie kan jaren misbruikt worden; dat klanttegoed veilig staat is dan een nogal magere troost.
Weer dat geruststellende verhaal over “geen technische hack”, alsof een paspoortkopie daardoor minder gevoelig wordt. Een overheidsadres is geen bewijs van bevoegdheid; voor dit soort verzoeken hoort gewoon een tweede controlekanaal verplicht te zijn, anders kan straks iedereen met toegang tot een mailbox dossiers laten opsturen. En “beperkt aantal” zonder aantal is natuurlijk geen informatie maar PR.
“Geen technische hack” is hier geen semantisch detail: het laat juist zien dat beveiliging ook faalt in procedures en menselijk vertrouwen. Maar paspoortkopieën en bankafschriften weggeven op basis van één mailtje is wél een ernstig controleprobleem; Revolut moet nu exact melden hoeveel mensen en welke gegevens zijn geraakt, niet schuilen achter “beperkt aantal”.
“beperkt aantal” is corporate voor we tellen nog ff voordat de toezichthouder het doet bro lol
“Beperkt aantal” kan nog steeds betekenen dat je paspoort, adres en bankafschriften op straat liggen. Eerst de feiten boven tafel, daarna mag de marketingafdeling weer geruststellende woorden kiezen.
PASPOORT EN BANKAFSCHRIFTE NAAR EEN NEP OVERHEIDSADRESJE STURE IS GEEN KLEIN LEK MAAR GEWOON GROTE PANIEK MAN, MIJN NEF HEB OOK IS Z’N ID MOETE BLOKKE EN KAN NOU NOG STEEDS NIE NORMAAL EEN REKENING OPENE, REVOLUT MAG EFFE HEEL SNEL UITLEGGE WIE DIT HEB LATEN GEBEURE EN WAT ZE GAAN VERGOEDE!!!
“Beperkt aantal klanten” betekent niet dat een paspoortkopie ineens onbelangrijk is. Maar je neef zijn rekeningproblemen als bewijs opvoeren zonder te weten of dat met dit incident te maken heeft, is ook geen analyse. Revolut moet precies melden welke gegevens zijn gedeeld en gedupeerden helpen met bescherming tegen identiteitsfraude; een schadevergoeding roepen voordat de omvang vaststaat is vooral veel hoofdletters.
Het echte probleem is niet alleen dat Revolut een mailtje geloofde, maar dat één geloofwaardig adres blijkbaar genoeg was om paspoortkopieën vrij te geven. “Beperkt aantal” zegt zonder aantallen en uitleg over de controle helemaal niks over de impact voor klanten.
Dit is precies waarom “geen hack” een beetje misleidend klinkt. Als iemand via mijn paspoort, selfie en bankafschriften mijn identiteit kan nabouwen, voelt dat gewoon als een inbraak in mijn leven. Ik heb ooit meegemaakt dat één gelekt telefoonnummer al maanden phishing en rare telefoontjes opleverde; bij dit soort data kan de energie nog veel grimmiger worden.
Een paspoortkopie is al link, maar samen met selfie en bankafschriften heb je gewoon een compleet pakket voor identiteitsfraude. En dan mag de klant straks zelf maanden bewijzen dat hij bepaalde leningen of accounts niet heeft aangevraagd, terwijl de fout bij de controle van Revolut lag.
En precies daarom hoort Revolut nu niet alleen klanten te waarschuwen, maar ook concreet te zeggen welke documenten zijn verstrekt en welke fraudepreventie ze aanbieden. Met een paspoortkopie kun je nog alert zijn, maar als ook selfie en financiële gegevens rondzwerven wordt “houd uw rekening in de gaten” wel een karige oplossing voor hun eigen controlefout.
Het blijft ook vreemd dat Revolut niet zegt welke overheidsinstantie dit betrof. Die instantie moet haar mailbox en medewerkers ook maar eens goed nalopen, want blijkbaar kon iemand daar onder dat adres verzoeken laten lopen. En gedupeerden hebben niks aan “we hebben contact opgenomen” als ze niet weten welke documenten precies zijn afgegeven.
Goh, paspoortkopieën zijn geen gewone persoonsgegevens die je zomaar even terugdraait. Ik heb op mijn werk ook wel eens gezien hoe één verkeerd doorgestuurd document meteen een hele zoektocht oplevert; gedupeerden moeten precies weten wat er gedeeld is en wat ze nu moeten doen toch?
en wie gaat nu controleren of die gestolen kopien niet volgende maand bij een andere instantie weer als “bewijs” opduiken, want de klant mag straks zeker zelf overal uitleggen dat ie geen fraudeur is, lekker systeem zo...
Benieuwd of klanten hier zelf ook nog iets aan hebben als hun gegevens misbruikt worden. Een paspoortkopie kun je niet even terughalen uit iemands mailbox, dus “we hebben het lek gedicht” stelt dan niet zoveel voor.
En ondertussen mag de klant zelf weer maanden opletten op identiteitsfraude, terwijl Revolut hooguit een mailtje stuurt en de rekening bij een ander neerlegt тамам
de echte vraag is hoeveel mensen nu verplicht hun identiteit opnieuw moeten bewijzen omdat een bedrijf hun kopie heeft weggegeven, lekker klant zijn is tegenwoordig zelf je eigen datalek oplossen bro lol
Het opvallende hier is dat identiteitscontrole blijkbaar als een eenmalig loket wordt behandeld, terwijl een documentkopie jaren kan blijven rondzwerven. Zelfs als alleen een beperkt aantal klanten is geraakt, moet Revolut per persoon kunnen aangeven welke bestanden zijn verstrekt; “mogelijk selfies en bankafschriften” is voor gedupeerden veel te vaag. En meldingen aan klanten zijn niet genoeg als zij vervolgens zelf moeten uitzoeken of hun identiteit ergens wordt misbruikt.
Die extra controle klinkt logisch, maar ook daar kunnen mensen fouten maken. Belangrijker is dat Revolut nu precies uitlegt welke gegevens zijn gedeeld en de getroffen klanten helpt met vervanging van documenten en bescherming tegen identiteitsfraude.
Het vervelende is dat zo’n lek niet ophoudt bij de eerste gedupeerde. Die documenten kunnen jaren later nog opduiken bij een lening, telefoonabonnement of nepaccount, terwijl je zelf allang vergeten bent waar je ooit een kopie hebt ingeleverd. Ik zou als klant nu vooral willen weten of Revolut die kopieën voorzien had van een duidelijk watermerk en hoe lang ze überhaupt bewaard worden.
Weer blijkt dat een paspoortkopie blijkbaar met een geloofwaardig mailtje te krijgen is, terwijl banken voor een rekening openen drie selfies en een video willen. “Beperkt aantal” zegt weinig zolang Revolut niet meldt hoeveel dossiers, welke documenten en hoe lang die bewaard waren; één paspoortkopie kan jaren ellende geven. Watermerk erop is mooi, maar wie controleert of zo’n verzoek echt door de bevoegde ambtenaar is verstuurd?
Het probleem is niet alleen dat Revolut een verzoek verkeerd heeft beoordeeld, maar dat er blijkbaar geen goede audittrail en schadeclassificatie klaarstaat om snel vast te stellen wie precies wat heeft gekregen. De oplossing is verplichte logging per documentsoort, onafhankelijke controle achteraf en klanten concreet vertellen welk risico zij lopen; “een beperkt aantal” zegt zonder aantallen en landen helemaal niks.