Den britiske fintech-gigant Revolut har bekræftet, at følsomme kundeoplysninger er lækket til en uautoriseret tredjepart, efter selskabets medarbejdere blev narret af falske dataanmodninger sendt fra en ægte statslig e-mail-domæne. Sagen rammer selskabet på et tidspunkt, hvor det arbejder mod en potentiel børsnotering med en værdisætning på op mod 200 milliarder dollar.
Sådan foregik bedrageriet
Revolut bekræftede lørdag den 12. september 2026, at virksomheden havde delt kundedata efter det, selskabet selv kalder "et sofistikeret eksternt imitationssvindel." Kernen i sagen er teknisk enkel, men slående effektiv: En uautoriseret aktør fik adgang til at sende e-mails direkte fra en ægte myndigheds domæneinfrastruktur — ikke en efterligning eller et lignende domænenavn, men den faktiske, autoriserede e-mail-adresse tilhørende en statslig myndighed.
Fordi anmodningen bar gyldige domæne-autentificeringsoplysninger, altså de tekniske signaturer, som mailsystemer bruger til at bekræfte, at en besked reelt stammer fra den påståede afsender, bestod den de sikkerhedskontroller, Revolut normalt anvender til at validere myndighedsforespørgsler. Medarbejderne behandlede derfor anmodningen som en legitim juridisk forespørgsel og udleverede oplysningerne i god tro. Det er værd at bemærke, at dette ikke var et hack i traditionel forstand — Revoluts egne systemer, servere og databaser blev ikke brudt ind i. Svindlen udnyttede i stedet en administrativ arbejdsproces og en kompromitteret myndighedspostkasse, som lå uden for Revoluts kontrol.
Selskabet oplyser, at det opdagede bedrageriet, blokerede den pågældende afsenderadresse og underrettede den relevante myndighed samt politi, databeskyttelsesmyndigheder og finansielle tilsynsmyndigheder.
Hvilke data blev udleveret
Omfanget af de kompromitterede oplysninger er usædvanligt bredt for en enkelt sikkerhedshændelse. Ifølge de kundenotifikationer, som Revolut har udsendt, og som flere medier har fået indblik i, omfatter de lækkede data:
- Identitetsoplysninger: fulde navne, fødselsdato og oplyst beskæftigelse
- Kontaktoplysninger: postadresse, e-mailadresse og telefonnummer
- Identitetsdokumenter: kopier af pas og/eller kørekort
- Biometrisk verifikationsdata: de selfies, kunder uploadede til KYC-verifikation ("Know Your Customer") ved kontooprettelse
- Finansielle oplysninger: kontoudtog, IBAN-numre, udbetalingshistorik og komplet transaktionshistorik — herunder Bitcoin-transaktioner
Revolut selv har i sin officielle kommunikation været forsigtig med at bekræfte samtlige datatyper, men flere af de mest følsomme elementer — herunder IBAN-numre og kryptohistorik — er dokumenteret via de kundeemails, som blockchain-efterforskeren ZachXBT offentliggjorde på Telegram, og som er blevet gennemgået af sikkerhedsmedier som The Register og Help Net Security.
Løsesumskrav på over 5 milliarder kroner
Sagen har taget en yderligere alvorlig drejning: Personer, der hævder at stå bag angrebet, har delt uddrag af de stjålne data i flere Telegram-grupper — inklusive oplysninger, der efter det oplyste tilhører topchefer, sportsudøvere og kunstnere. Grupperne truer med at offentliggøre "mere og mere data hver dag," indtil Revolut betaler en løsesum på 10.000 Bitcoin — svarende til over 782 millioner dollar, eller mere end 5,4 milliarder danske kroner efter aktuelle kurser.
Revolut har ikke kommenteret på det påståede løsesumskrav, da selskabet blev spurgt. Ifølge kilder tæt på virksomheden er kun en lille andel af Revoluts kundebase berørt, men igangværende undersøgelser og fortrolighedsforpligtelser forhindrer selskabet i at give yderligere detaljer om omfanget. Krypto-efterforskeren ZachXBT vurderer, at angrebet — selv om det er begrænset i omfang — specifikt har været målrettet kunder med høj nettoformue.
Revolut forsikrer om systemsikkerhed
Revolut systems and customer funds are unaffected.
Selskabet har flere gange understreget, at selve infrastrukturen står uberørt. Det er det centrale budskab fra en talsperson, som også fastholder, at ingen adgangskoder, login-oplysninger eller biometriske sikkerhedsdata til kontoadgang er blevet kompromitteret — det gælder specifikt de selfies, der bruges til at logge ind, i modsætning til de verifikationsselfies, der oprindeligt blev indsendt ved kontoåbning.
We have contacted the limited number of impacted individuals directly to inform them and provide support.
oplyser selskabet. Revolut har dog konsekvent afvist at oplyse det eksakte antal berørte kunder, hvilket flere medier — blandt andet BleepingComputer og The Register — udtrykkeligt har efterspurgt uden held.
Timing rammer på et kritisk tidspunkt
Bruddet kommer på et strategisk følsomt tidspunkt for fintech-selskabet. Revolut arbejder efter flere rapporter i retning af en potentiel børsnotering, der kunne værdisætte selskabet til op mod 200 milliarder dollar — en markant stigning fra den private værdisætning på 75 milliarder dollar i november. Ifølge The Register har medstifter og topchef Nik Storonsky antydet planer om en notering, dog ikke før 2028.
Samtidig har selskabet de seneste måneder udvidet sin banklicens-portefølje betydeligt, med nye tilladelser i både Frankrig og Storbritannien, hvor Revolut fik godkendelse til at lancere sin britiske bank i marts 2026. Med over 80 millioner private kunder og mere end 800.000 virksomhedskunder globalt er Revolut blandt de største uafhængige fintech-selskaber i verden — hvilket gør denne type angreb særligt alvorlig, både i omfang af potentielt eksponerede brugere og i den tillid, en bank af denne størrelse er afhængig af hos regulatorer og investorer i en periode, hvor selskabet søger at positionere sig som en fuldgyldig, licenseret bank frem for blot en betalingsapp.
En svindelmetode, der udstiller en strukturel svaghed
Det mest opsigtsvækkende aspekt af sagen er ikke, at Revolut blev udsat for et cyberangreb — det er, at angrebet lykkedes uden et eneste indbrud i selskabets tekniske systemer. Irsk cybersikkerhedsfirma ESET har påpeget, at sagen ikke er et "hack" i konventionel forstand, fordi anmodningerne om data kom fra en ægte myndigheds e-mail-domæne og derfor blev behandlet som autentiske.
Det rejser et bredere spørgsmål for hele finanssektoren: Hvor meget tillid kan en bank lægge i domæne-autentificering alene, når den underliggende infrastruktur hos en tredjepart — i dette tilfælde en statslig myndighed — selv kan blive kompromitteret? Revoluts sikkerhedskontroller var designet til at verificere, at en anmodning kom fra den påståede kilde. Problemet var, at den faktisk gjorde det — bare fra en uautoriseret bruger inde i den kilde. Det er en distinktion, der sandsynligvis vil tvinge finansielle institutioner til at genoverveje, hvor stor vægt tekniske autentificeringssignaler alene bør have i beslutninger om udlevering af følsomme persondata, uafhængigt af hvor "officiel" en anmodning ser ud på overfladen.
