Gegevens gestolen bij Revolut: zo controleer je of jij erbij zit
Criminelen deden zich voor als overheidsinstantie en kregen gegevens van 680 Revolut-klanten, 36 daarvan in Nederland. Hoe je nagaat of jij erbij zit en wat je nu regelt.
Bij onlinebank Revolut zijn persoonsgegevens van 680 klanten buitgemaakt, van wie 36 in Nederland. Er is geen geld weggehaald en de systemen van de bank zijn niet gehackt: criminelen deden zich per e-mail voor als een overheidsinstantie en vroegen klantgegevens op, waarna de bank die netjes opstuurde. Ben je klant, dan is de eerste stap nagaan of je bij die 36 hoort, en dat doe je in de app en niet via een mailtje.
Wat er precies is gebeurd
BNR, dat de zaak aan het rollen bracht, meldt dat de criminelen valse informatieverzoeken verstuurden vanaf het echte e-maildomein van een overheidsinstantie. Revolut dacht daardoor met een bevoegde instantie te maken te hebben en deelde de gevraagde gegevens.
Het gaat om namen, geboortedata, beroepen, adresgegevens, e-mailadressen en telefoonnummers, maar ook om kopieën van paspoorten of rijbewijzen en om de selfies die je bij het openen van een rekening maakt voor de gezichtsverificatie. Daarnaast zijn er transactiegegevens en opname-overzichten buitgemaakt. Delen van die buit zijn inmiddels online gepubliceerd. De bank heeft het valse adres direct geblokkeerd, getroffen klanten benaderd en de zaak gemeld bij de privacytoezichthouder en bij de financiële toezichthouders, schrijft Accountant.
Dat laatste rijtje is precies waarom dit vervelender is dan het doorsnee datalek. Een wachtwoord verander je in twee minuten. Een paspoortnummer en een verificatieselfie veranderen niet mee. Die kun je de rest van je leven niet terugdraaien, en dat is de reden om dit serieus te nemen ook al gaat het om een klein aantal mensen.
Zo ga je na of jij erbij zit
Revolut benadert de getroffen klanten zelf. Hou daarbij één regel aan: open de app en kijk daar of er een bericht staat, en klik nooit op een link in een e-mail of sms die zegt dat je bent getroffen. Juist na zo’n bericht in het nieuws komen er namelijk nepberichten die er precies zo uitzien.
Twijfel je, gebruik dan de chatfunctie in de app zelf om het te vragen. Bel niet terug op een nummer uit een mail, maar alleen op een nummer dat in de app staat. En zoek niet via Google naar een klantenservicenummer, want daar staan advertenties van oplichters tussen.
Wat je hierna kunt verwachten
De grootste kans is niet dat iemand je rekening leeghaalt, maar dat je gebeld of gemaild wordt door iemand die verrassend veel over je weet. Met je naam, geboortedatum, adres en een paar recente transacties in de hand klinkt een beller al snel geloofwaardig. Dat heet spoofing, en het werkt omdat het klopt wat ze zeggen.
De enige grens die je nodig hebt: een bank vraagt nooit om je pincode, vraagt nooit of je je pas afgeeft aan een koerier, en vraagt nooit of je geld overmaakt naar een veilige rekening of kluisrekening. Gebeurt dat toch, dan is het altijd oplichting, ongeacht hoe goed de rest van het gesprek klopt. Hoe zulke mails technisch in elkaar zitten, lieten we eerder zien bij de onzichtbare tekens in phishingmail.
Wat je nu regelt, ook als je er niet bij zit
Zet tweestapsverificatie aan als je dat nog niet had, en zet meldingen aan voor elke transactie, hoe klein ook. Fraude begint vaak met een proefafschrijving van een paar cent. Gebruik je hetzelfde wachtwoord ook ergens anders, verander het dan daar ook: het e-mailadres uit dit lek is genoeg om elders in te loggen.
Vermoed je dat iemand met jouw identiteitsbewijs aan de haal gaat, bijvoorbeeld doordat er post of rekeningen komen van bedrijven waar je niets hebt gekocht, doe dan aangifte bij de politie en meld het bij het Centraal Meldpunt Identiteitsfraude. Op de pagina van de Rijksoverheid over identiteitsfraude staan de meldingsformulieren. Voor twijfelgevallen kun je terecht bij de Fraudehelpdesk, die ook een mailtje voor je bekijkt waar je geen goed gevoel bij hebt.
En één ding dat verder gaat dan Revolut: ga zuinig om met kopieën van je identiteitsbewijs. Deze diefstal ging niet door slecht beveiligde servers maar doordat iemand er simpelweg om vroeg op een manier die echt leek. Dat kan bij elke partij gebeuren die zo’n kopie bewaart, en hoe minder plekken die kopie staat, hoe kleiner je risico.
