Home   2026-10-22 19:56:51

←

'Ook paspoortkopieën van Nederlandse klanten lekken uit door datalek Revolut'

Original article

Bij het datalek van Revolut zijn ook gegevens van Nederlanders uitgelekt. Dat meldt BNR op basis van eigen onderzoek. De data lekte uit na een socialengineeringaanval. Aanvallers dienden via een legitiem overheidsmailadres frauduleuze verzoeken in bij het Britse bedrijf.

In het datalek zitten onder meer geboortedata, adressen, telefoonnummers, kopieën van identiteitsdocumenten, bankafschriften en selfies gemaakt voor verificaties. De criminelen hebben een deel van die data online gepubliceerd, schrijft BNR, dat de uitgelekte gegevens onderzocht.

Het medium stelt dat in meerdere landen mensen slachtoffer zijn geworden. Er zijn meerdere paspoortkopieën van Nederlanders gedeeld. Een van de slachtoffers is zangeres Yade Lauren, zegt BNR. Verder zijn er kopieën van Koreaanse, Bulgaarse, Maltese en Duitse identiteitsbewijzen uitgelekt. Revolut wil tegenover BNR niet bevestigen dat er Nederlandse slachtoffers zijn, maar ontkent dat ook niet. Of er ook Belgische slachtoffers zijn, is niet bekend.

Sommige uitgelekte gegevens zijn van vermogende personen. Een van de slachtoffers is de Duitser Felix Römer, eigenaar van cryptocasino Gamdom. Zijn identiteitsbewijs is uitgelekt. Römer bevestigt het datalek op X.

Geld van klanten is veilig

Het datalek vond plaats nadat een onbevoegde derde partij een legitiem e-mailadres van een overheidsinstantie misbruikte om frauduleuze informatieverzoeken in te dienen. Dat e-mailadres is direct na het ontdekken van de fraude geblokkeerd, zei Revolut eerder. De betreffende overheidsorganisatie en de politie zijn op de hoogte gesteld.

Revolut benadrukt dat het incident geen gevolgen heeft voor het geld van klanten of voor zijn systemen. Het bedrijf heeft contact opgenomen met getroffen klanten. Het is onduidelijk hoeveel mensen het datalek heeft getroffen.

Revolut Mobile

Door Eveline Meijer

Nieuwsredacteur

Feedback • 14-09-2026 15:09
131 • submitter: FreshM

14-09-2026 • 15:09

131

Submitter: FreshM

Reacties (131)

Waarom wordt dit gepresenteerd als 'datalek'? Revolut heeft net als alle andere banken de verplichting zich aan weg- en regelgeving te houden. Bij de recente updates aan AML-wetgeving is het banken verplicht om min of meer zonder dat een bank dit mag toetsen, informatie over te dragen aan overheden. Dat is hier gebeurd (als ik het goed begrijp). 'hackers' hebben en mailbox weten aan te maken binnen een overheid, en zijn vanuit die mailbox gegevens gaan opeisen bij Revolut. Revolut ziet dat het domeinnaam van een overheid is, en geeft gehoor aan de vordering.

Het echte lek zit 'm dus enerzijds bij die overheid waar de hackers een mailbox konden krijgen. En anderzijds bij de AML-wetgeving. Die is er volledig op gestoeld om alle vormen van checks & balances weg te halen, en verplicht banken om zonder enige kans op bezwaar direct allerlei informatie vrij te geven. Dat is handig voor een partij als de FIOD, maar dat er ook nadelen aan zo'n constructie kunnen zitten weigerde de wetgevende macht in te zien, met dit als resultaat.
Omdat een datalek niet per se is wat jij denkt dat het is. Een datalek heb je al als ik jou in de CC meeneem terwijl ik eigenlijk hoofd HR moest benaderen over een ziekgemeld teamlid. Of wanneer ik een externe partij per ongeluk een NDA stuur met een reeds ingevuld en incorrecte bedrijfsnaam van een andere partij.

Er zijn meerdere zwakke punten:
  1. Het mailadres van de autoriteiten kon blijkbaar gespoofd worden, of een realistisch adres is nagemaakt of er is iets met typosquatting gedaan (google versus googIe; hoofdletter "i" versus kleine lekker "l")
  2. Revolut heeft hun eigen interne validatieprocessen niet gevolgd ("is de verzender daadwerkelijk degene die het stelt dat het is?", oftewel geen check of authenticatie)
  3. Revolut heeft de bestanden via een portaal of naar een mailadres gestuurd zonder rekening te houden met de gevoeligheid van de data.
Ja dat snap ik ook wel. Maar wat mij tegenstaat is dat er in een artikel als dit alleen naar Revolut gekeken wordt. Terwijl de bron van de ellende ligt bij die slechte wetgeving. Nu ontlopen wetgevers weer alle verantwoordelijkheid, terwijl dit een direct gevolg is van die slechte wetgeving.

Overigens, als ik het goed begrijp was er in dit geval geen sprake van spoofing of typosquatting. Men heeft daadwerkelijk een mailbox kunnen aanmaken binnen het domeinnaam van een overheid. Dus alle validatiestappen slaagden aan de kant van Revolut. Pas nadat ze meerdere van dergelijke verzoeken hebben gekregen, heeft Revolut geinformeerd of ze 100% zeker wisten dat alles goed ging, waarna die overheid pas doorhad dat hun mailserver gecompromitteerd was.
Revolut heeft de bestanden via een portaal of naar een mailadres gestuurd zonder rekening te houden met de gevoeligheid van de data.
En dat zit dus in die wetgeving. Je moet 'at once' complyen, en als je iets vertraagt dan staan daar flinke boetes op.
Dit is slechts een operationeel proces rondom een wet, dus ik weet niet of je direct wetgeving kunt verwijten. Er zit redelijk wat druk op indien zo'n aanvraag ingediend wordt (heb er zelf meerdere verwerkt in het verleden), maar er is alsnog tijd genoeg om te valideren of de afzender degene is die zij stellen te zijn.

Ik heb me niet helemaal ingelezen in deze specifieke zaak, als ze zelf een mailbox hebben kunnen aanmaken binnen het domein, is dat natuurlijk wel kwalijk. Des te belangrijker dat organisaties via een andere communicatiekanaal valideren of het correct is dat zij een dergelijke aanvraag hebben ontvangen.
Ik heb in het verleden ook wel vorderingen van een OvJ moeten afhandelen. Maar dat is echt een compleet ander proces dan de processen op basis van deze wetgeving. Een vordering van een OvJ zit vol checks and balances (en gaat vaak in eerste instantie om het bevriezen van data als er nog dingen gechecked moeten worden). Zo'n vordering die Revolut krijgt is op basis van geheel andere wetgeving, waar men dergelijke checks and balances uit heeft gesloopt omdat het alleen maar lastig zou zijn.

Maar hier was het dus:
- Het adres zat op het echte domein van een overheidsinstantie, niet op een nagemaakt lookalike-domein.
- De mail kwam door de normale e-mailcontroles heen (SPF, DKIM, DMARC).
- Revolut beschrijft het als een ongeautoriseerd account binnen die overheidsinfrastructuur (vermoedelijk een Italiaanse overheidsinstantie).

Dan had de kop van dit artikel net zo goed kunnen zijn: 'Italiaanse overheidsinstantie wordt gehacked en misbruikt om data banken op te vragen door hackers'
Dit ja. Hoe kan er dus een overheids email adres gebruikt zijn. Dat zit er daar ook iets mis lijkt mij.
'Italiaanse overheidsinstantie wordt gehacked'
of misschien: 'Microsoft wordt gehacked'?

$ host -t MX governo.it
governo.it mail is handled by 0 governo-it.mail.protection.outlook.com.
zal wel niet microsoft zijn dat gehackt werd, maar gewoon een ambtenaartje die op maandagochtend voor de koffie op een link klikte dat niet mocht.
je weet wel, die italianen hebben hun koffie écht nodig voor ze werken :)
Als je het puur over het datalek hebt, is het ook niet de overheid maar Revolut. Al lijkt die eerste wel de schuldige te zijn, op eerste gezicht.
Maar je kan toch niet normaal vanaf een regulier mailadres van de overheid data aanvragen?


Beetje vreemd als de junior beleidsmedewerker die 2 maanden bij de Rijksoverheid werkt bij diverse banken paspoorten kan gaan opvragen.
De vraag is dan wel, wat moet een Britse overheidsinstantie met de persoonsgegevens van EU lidstaat inwoners (Nederland, Duitsland, etc.) dat die informatie blind overhandigd wordt na een emailtje?

Daar zit voor mij wel een probleem in dit verhaal. Want zijn die mensen klant bij de Britse entiteit van Revolut, of bij een Europese entiteit? Als je bij de Europese entiteit klant bent verwacht ik minimaal een rechter erbij die dit controleert omdat het verzoek over de grens gaat naar andere BV's.
Waar staat dat het een britse overheidsinstantie is? Zo ver ik kan lezen wordt alleen benoemd dat Revolut brits is, maar niet van welke land de overheidsinstantie is..
Het punt is mag een overheid informatie opvragen van burgers uit andere landen? Denk het niet dan zou bij Revolut alarm af moeten gaan
Je zou kunnen beargumenteren dat het datalek niet bij Revolut zit, maar bij de overheidsinstelling in kwestie. Dat daar toevallig (ook?) Revolut-data is buitgemaakt is dan een neveneffect. Maar inderdaad, Revolut stuurt gewoon in reactie op een (vanuit Revolut’s oogpunt, want alle checks zullen slagen) legitiem verzoek de data naar de servers van die overheid en daar wordt het gejat.

Uiteindelijk blijft het Revolut’s data die gelekt is, maar ik snap je punt wel. Door de nadruk die gelegd wordt op Revolut lijkt het alsof het probleem bij hen zit, terwijl dat niet waar is en je Revolut er niet boos op kan aankijken.

[Reactie gewijzigd door WhatsappHack op 14 september 2026 20:07]

Ik snap je opmerking, maar in dit geval is, was en blijft Revolut de verwerkingsverantwoordelijke van deze gegevens. Zij hadden deze gegevens in beheer en zij hebben deze op een verkeerde wijze gedeeld.

Natuurlijk is deze aanval ontzettend venijnig uitgevoerd. Maar je kan de oorzaak niet bij de wetgeving leggen. In die wet staat immers niet dat de uitvraag via dat e-mail adres blindelings te vertrouwen moet zijn.

Ook blijf je als verwerkingsverantwoordelijke verantwoordelijk voor een veilige overdracht van gegevens met een andere (zelfstandig) verwerkings verantwoordelijke (zoals een autoriteit).

Wanneer Revolut geen adequate beheersmaatregelen treft om spoofing te voorkomen, dan moet Revolut zich hier primair voor verantwoorden.

Zo'n beheersmaatregel had kunnen zijn om via een ander en vertrouwd kanaal de uitvraag te (laten) checken. Een belletje was misschien al genoeg geweest.

Overigens is 'legitimiteit verifiëren' geen 'bezwaarmaken'.

[Reactie gewijzigd door E!Ma0RB7 op 15 september 2026 00:09]

Het ligt eigenlijk veel makkelijker dan dat. Er hoeft helemaal geen lek te zijn.

Ik heb gewerkt bij een bedrijf vergelijkbaar met Mailchimp, een platform waarmee bedrijven en personen e-mails en nieuwsbrieven kunnen versturen.

Binnen zo'n platform kun je zelf aangeven vanaf welk e-mailadres je een mail wilt versturen. Je zou bijvoorbeeld "joost@overheid.nl kunnen invoeren, ook als je zelf helemaal geen toegang hebt tot die mailbox.

Normaal gesproken wordt er vervolgens automatisch een verificatiemail naar "joost@overheid" gestuurd. Als je op de verificatielink klikt, is het adres geverifieerd en kun je via het platform mails versturen met dat adres als afzender.

Maar daar zit precies het probleem. Die verificatiemails worden door het platform zelf verstuurd en zijn voor medewerkers met de juiste beheerdersrechten inzichtelijk. Zo'n medewerker kan die verificatie handmatig uitvoeren, en is toegang tot de daadwerkelijke mailbox helemaal niet meer nodig.

In theorie zou ik dan bijvoorbeeld mijn eigen mailbox kunnen gebruiken om een mail te versturen waarbij "joost@overheid.nl" als afzender wordt weergegeven, zonder ooit toegang te hebben gehad tot die mailbox. Ik werk er niet meer, maar anders had ik het graag laten zien.
Bij een bedrijf zoals Mailchimp (Laposta?) moet je DNS records toevoegen aan de DNS instellingen van het domein bij de hosting provider om te bewijzen dat je beheerder bent van het betreffende domein.
Wanneer de opgevraagde gegevens ook naar het gespoofde emailadres gestuurd worden, heb je er nog niets aan.
Ik had niet verwacht dat ze de selfies zouden bewaren. Misschien een beetje naïef, maar goed....
Ik heb het proces ontworpen bij een grote Nederlandse bank voor het identificeren via NFC paspoort, MRZ en daarna een selfie, en nadrukkelijk kreeg ik van onze juridische afdeling en compliance te horen dat die selfies in geen geval bewaard mochten blijven. Lijkt me dat Revolut hier sowieso een steek heeft laten vallen.

Dit is trouwens wel weer hét voorbeeld waarbij je, mits toegestaan, altijd je pasfoto/BSN/handtekening moet zwartlakken bij kopieën.
Precies. Gaan ALTIJD door de Kopie-ID app.

[Reactie gewijzigd door phoenix2149 op 14 september 2026 21:59]

Dat werkt niet bij identificatie met paspoort etc als je een video moet opnemen. Dan moet je al stickers gaan plakken.. En dan nog accepteren er ook genoeg bedrijven/instanties niet een afgelakte identificatie
Dat hangt een beetje van de instantie/het bedrijf af aangezien je soms geen afgeplakte mag accepteren. Ik vermoed dat de rest gewoon de instellingen van een van de grote id-check boeren te hoog heeft staan.
Wat is het voordeel van zwartlakken? Een gelekte, zwartgelakte, kopie van mijn ID/paspoort kan toch net zo goed misbruikt worden? (die gebruik ik zelf dan namelijk ook voor registraties e.d.)
Instatie er op zetten, eventueel met watermerk. Kan er altijd nog iets gebeuren maar dan kun jij soort van laten zien van dat het een misbruikte variant is die uitgelekt is door hotel X.
En dan halen die criminelen via AI het watermerk er weer af..
Dat is helaas weer inherent aan de moderne technologie. Als overheden nu eens duidelijk konden verkondigen wat een club je wel en niet mag vragen. Utopie.
Zwartgelakt + datum + instantie en je hebt dat probleem opgelost.
Dat zwartlakken is leuk, maar tot op heden heb ik dit nergens voor elkaar gekregen dat het op die manier wordt geaccepteerd.
Hangt er inderdaad ook wel van af. Voor een bank kan ik mij best voorstellen dat het inderdaad niet mag, omdat ook zij wettelijke grondslagen hebben, net zoals een werkgever dat bijvoorbeeld heeft. Een voorbeeld waarbij het wel mag, is de kortingsactie van supermarkten op gebak. Vaak moet je dan ook een ID kunnen overleggen, maar daar is geen BSN nummer voor nodig, bijvoorbeeld.
Probleem daar is dat de vragende clubs niet weten dat jij dat recht hebt en zij de meeste data niet hoeven te weten. Bij een kortingsactie kun je dan nog besluiten om maar niet mee te doen maar er zijn ook dingen waarvan je het maar moet slikken.

Ik heb momenteel geen explicitiet voorbeeld maar je hebt altijd van die gevallen waar je toch een dienst nodig hebt.
Greenwheels vraagt ook om een rijbewijs scan. Ik had met de Kopie ID app een foto gemaakt van mijn rijbewijs met foto en BSN weggelakt en er een watermerk in gezet.

Resultaat was dat mijn aanvraag niet in behandeling kon worden genomen en en helpdesk medewerker niet kon/mocht zeggen waarom het was afgewezen.
Precies dit... Probeer maar eens bij ebay.de als ze om een kopie paspoort vragen, die zeggen gewoon "is zwartgelakt, accepteren we niet" en sluiten je account af (ook als je er al 15 jaar klant was, met alleen positieve reviews and geen enkel probleem gehad hebt).
Als je denkt dat de meeste banken complient zijn heb je t mis. Wordt afgekocht, boete en volgend jaar beter hopen
Het zijn soms tegenstrijdige wetten waar je als organisatie doorheen moet manouvreren. Aan de ene kant heb je Wet ter voorkoming van witwassen en financieren van terrorisme, aan de andere kant AVG.
En de KopieID app gebruiken met watermerk
die door veel bedrijven dan weer geweigerd word want foto van je ID is aangepast/bewerkt.

wat ik op zich begrijp, als je een bewerkte foto van een ID accepteerd is de waarde ervan natuurlijk nul. Dan kan ik er willekeurige informatie op invullen zonder dat dat opvalt. no word automatisch gescand op bewerkingen en daar dan op afgekeurd.
Revolut accepteert geen kopiëen waar iets is afgedekt/afgelakt heb ik ondervonden.
Bij banken, zoals Revolut, moet je verplicht ook je BSN nummer meesturen en ook moet ie op kopie ID zichtbaar zijn vanwege de belastingdienst. Helaas kan je die niet wegkalken wat ik normaal altijd doe bij andere diensten (zoals autoverhuur).
Vragen me al weken om mijn nieuwe paspoort, omdat de oude die ik had gebruikt om account te maken verlopen was.

Gezien we nu vanuit onze eigen NL banken ook gewoon pinpassen met credit-card nummers hebben, is de hele case waarvoor ik Revolut gebruikte eigenlijk weg.

De vraag om mijn nieuwe paspoort, het feit dat mijn huidige bank nu ook kan wat ik voornamelijk via revolut deed (namelijk dingen aanschaffen in het buitenland waar CC's voor nodig zijn) én dit "datalek" lijken mij een mooi moment om de boel op te zeggen bij Revolut.

Enige handige functionaliteit die in mijn optiek overblijft waarvoor ik daar zou kunnen blijven, is het valuta omwisselen al heb ik nooit echt uitgezocht of het nou voordeliger was via de app (revolut) of gewoon pinnen bij een automaat.
Hmm ik vind het wel handig voor andere valuta.
Maar heb je weleens uitgerekend of het via Revolut nu voordeliger is als via "gewoon" pinnen met je normale bank-pas en dan de rating selecteren?

Ik niet namelijk, dus voor hetzelfde geld (hah!) heb ik jaren lang hogere ratings betaald vanwege makkelijkheid.
Ik heb via Wise dit toegepast, en het scheelt best wel wat geld. Ik heb ING als mijn normale bank, en moest in Canada iets afrekenen (biertje ergens). Mijn Wise saldo was te laag dus gebruikte ik mijn ING creditcard. Half uurtje later wilde ik hetzelfde bedrag nogmaals afrekenen en had in de tussentijd mijn Wise saldo opgewaardeerd, en op een bedrag van +/- 10 euro scheelde me dat al iets van 20 cent. Aangezien de enige kosten die ik heb bij Wise het opwaarderen is (45 cent voor iDeal transactie ongeacht de grootte) kon 't voor dit bedrag al bijna voor de helft uit. Laat staan als ik hotels boek, of zoals toen, 3 maanden lang in het buitenland was. Echt makkelijk tientallen euro's bespaard per maand.
Helemaal mee eens.

Nog een tipje: als je het handmatig overschrijft vanaf je bankrekening ipv via iDeal kost het je geeneens die 45 cent. Ik betaal nooit iets bij "toevoegen".
Goede tip! Meestal kom ik er pas achter als ik het nodig heb dat mijn saldo te laag is dus dan wil ik gelijk de bevestiging, maar gelukkig kost dat mij maar 45 cent per half jaar ofzo.
"Overmaken" vanaf je bankrekening in de Wise-app is ook zo goed als meteen, dus daar hoef je het niet voor te laten.
Dan zit er nog wel een verschil tussen de ING betaalpas (Mastercard debit) en ING creditcard. Bij de betaalpas is de koersopslag 1,4% en bij de creditcard 2%.

Kan ook nog aardig verschillen per bank, KNAB heeft bijvoorbeeld 1% op de betaalpas, bunq 0,5% op de duurdere pakketten. Wise is in veel gevallen een mooi gratis en goedkope oplossing om in het buitenland te betalen als je niet wil overstappen of voor een extra bank wil betalen.

De meeste Nederlands creditcards hebben 2% toeslag zover ik weet (bij Amex zo'n ~2,3%).
Ja het kan heel erg snel oplopen. Van de week bij een ATM kreeg ik een voorstel om de ATM de conversie te laten doen naar Euro ipv m’n eigen bank dat te laten doen, dat niet doen en gewoon in lokale valuta afrekenen in combinatie met bunq’s ZeroFX (is niet helemaal zero overigens) scheelde me iets van €9,50 op een transactie van rond de €100. Dat vind ik echt schandalig veel. De pinautomaten in de winkels bieden het ook aan, maar die zijn schappelijker met +/- 3.5% mark-up en geven dat ook transparant aan op de terminal. (3.5% is alsnog meer dan via bunq overigens, dus bleef goedkoper om in lokale valuta te betalen.)
Op vakantie in Polen kreeg ik bij een benzinestation een conversie van 12,5 procent voorgeschoteld als ik in Euro ging betalen. Dit nadat ik het initieel weigerde, vroeg de automaat of ik zeker was want de deal was zo goed. Niet dus.
Er zijn meerdere redenen te verzinnen waarom je een creditcard wilt gebruiken i.p.v. een in ons land zo gangbare debitcard; een verzekering op je aankopen is er daar één van. Betaal je via iDeal/Wero: geld weg = dikke pech. Overigens moet je wel een beetje bij opletten; sommige Nederlandse banken hanteren een eigen risico van bijv. 100 euro. Zelf heb ik een VISA creditcard via m'n ANWB lidmaatschap; die kent geen eigen risico. Dat heeft me in al die jaren inmiddels al drie of vier keer voor een zeperd behoed.
Verzekeringen heb je op een debitcard meestal inderdaad niet (paar uitzonderingen), maar de chargeback-functie wél, tenminste: als het gaat om de “nieuwe” MasterCard en VISA debitkaarten die Maestro en VPAY in rap tempo aan het vervangen zijn. WERO moet dat in de toekomst ook krijgen overigens.
Ja helaas. Dit zal er gegarandeerd voor gaan zorgen dat in elk geval online aankopen duurder gaan worden. De transactiekosten voor de ondernemer zullen immers flink stijgen. Waar iDeal ongeveer een fixed fee is van 30 cent gaat Wero straks naar een fixed fee + percentage van de transactie (waarschijnlijk wel met een max, maar toch)
was die vraag dan niet vanuit revolut?
Ja, Revolut wil mij nieuwste ID ontvangen - die krijgen ze dus niet na deze fuck-up (normaliter had ik het uiteindelijk wel gedaan, want kost zo goed als niets dat rekeningetje daar).
Yariva Moderator internet & netwerken @Lightfeet078 • 14 september 2026 15:19
De use-case voor mij / ons is dat Revolut een gratis "gezamelijke" rekening levert. In vergelijking met mijn bank aanbieder scheelt die relatief simpele functionaliteit toch al snel 30 euro op jaarbasis door het wel bij Revolut te stallen.

Los van dat Revolut technisch wel lekker werkt. Pas op je telefoon en smartwatch, allemaal geen enkel probleem.
Hangt van de rates van je eigen bank af. Wat je iig nooit moet kiezen is 'with conversion', want dan krijg je niet de rate van je eigen bank, maar in plaats daarvan wat de lokale pinautomaat/bank vraagt (vaak veel hoger).

Overigens, bij Revolut/Wise etc kun je wel snel virtuele kaarten aanmaken en weer weggooien. Dit kan wel helpen voor de veiligheid.

Je kunt bij Wise bijvoorbeeld ook real time een limiet instellen. Ik stel de limiet dan in op pakweg 50 euro, en verhoog hem alleen even als ik een hogere uitgaven moet doen. Bovendien kun je bij Wise (en ik denk Revolut ook) sowieso alleen uitgeven wat op die rekening zelf staat (debet kaart), dus je kunt niet meer dan dat verliezen als er iets mis gaat.
Revolut was ook debet (in ieder geval mijn accountje), en nu ABN voor mij ook een debet kaart heeft gemaakt kan ik net zo goed die gebruiken (ik koop regelmatig schoenen vanaf StockX, wat voorheen niet lukte zonder creditcard - nu met ABN nieuwe pinpas wel.
Ja, ik volg je. Maar dingen als virtuele kaarten snel aanmaken en weer weggooien (=veilig) heb je bij ABN volgens mij niet. En bij ABN AMRO komt het voor zover ik weet van je eigen betaalrekening, waar mogelijk best wat geld op staat.

Als ik dus Wise gebruik met max 500 euro op het account (waar je accountbreed eventueel een limiet op kunt zetten), waar ik ook nog dynamisch limieten op kan zetten per kaart, en ik kan die kaarten ook instant blokkeren of helemaal verwijderen, dan geeft me dat wel een veilig gevoel. Tenminste, ik vind het daarom fijn om Wise te gebruiken tijdens vakanties (virtuele kaart op telefoon + fysieke kaart).

[Reactie gewijzigd door smvs op 14 september 2026 15:35]

Dit is ook mijn use case voor Revolut. Eenmalige creditcards voor aankopen op internet of betalingen in het buitenland. De eenmalige creditcard kan dan nooit misbruikt worden voor ongeautoriseerde charges.
Tsja, ASN vroeg mij vorig jaar opeens ook voor een nieuw kopie van mijn ID-kaart - met een nogal vage uitleg over waarom dat nodig was, hoe lang ze het zouden bewaren, en met wie ze het gingen delen.

En om het nóg mooier te maken: nadat ik fysiek naar een ASN-kantoor was geweest om dit te doen, sloten ze zonder enige waarschuwing in het weekend mijn rekening helemaal af! Blijkbaar was er iets fout gegaan bij hun verwerking...

Sure, het is nu Revolut die een datalek heeft, maar ik heb er nul vertrouwen in dat het bij de Nederlandse banken beter op orde is.
Ik gebruik wel een hoop functionaliteit wat Revolut wel of beter doet dan andere banken.

Wat ik verder handig vond aan de valuta is dat ik hier een virtuele pas aan kon koppelen en direct uit deze pocket met bijvoorbeeld $ kon betalen met zijn eigen virtuele of zelfs fysieke pas.

Ik heb zowel ING als Revolut maar mijn Salaris komt binnen in Revolut en automatisch verdeelt onder verschillende pockets, Zoals vaste lasten, boodschappen, Benzine etc. Ik weet hier exact of ongeveer wat ik besteed per maand en voor mij is dit een handige manier om niet te veel geld uit geven wat je eigenlijk voor andere dingen nodig hebt.

Ik heb ook verschillende passen gekoppeld aan de pockets, dus als ik tank betaal ik met de pas die gekoppeld is aan mijn benzine pocket zodat ik het niet handmatig over hoef te zetten. En dat geld ook voor de automatische incasso's. De punten die je spaart bij Revolut kan je wel inwisselen voor serieus leuke dingen, terwijl de ING punten meer voelen als een vertakte reclame voor andere partijen.

Odido, Revolut etc. er zullen de komende periodes echt nog wel veel meer datalekken ontstaan, om gelijk bij elke data de lek de boel te verwijderen lijkt me weinig nut hebben. Ik probeer nu zelf te onderzoeken wat ik kan doen om mijzelf te beschermen zoals de hide-my-email functie van Apple standaard gebruiken, dan kan ik gelekte mail adressen gewoon verwijderen en vervangen. Bied Revolut ook weer een mooie mogelijkheid in om virtuele passen te maken voor abbonementen, bij een lek kan je de pas verwijderen en weer vervangen.
Tja, nu je account opheffen... als het kalf verdronken is...

De kans is groot dat men bij Revolut nu extra scherp is op social engineering, dus wellicht is Revolut na deze kostbare fout (pun intended) wel een veiligere keuze...
Is niet alleen vanwege dit lek, zijn meerdere redenen zoals ik in mijn 1ste post uitleg.

[Reactie gewijzigd door Lightfeet078 op 14 september 2026 15:38]

Ik wist niet dat dit bestond. Mijn (volgend jaar verlopende) pinpas heeft ook geen 16 cijferige code of veiligheidscode. Nog geen bericht gehad van Revolut dus hopelijk die van mij niet gelekt.

[Reactie gewijzigd door Cerebriform op 14 september 2026 15:37]

Revolut biedt in Nederland geen creditcards aan. Daarom heb ik aanvullend een creditcard van ICS.
Als je zaken doet met een absoluut inferieur kl*tebedrijf als Alphabet (Google), is Revolut aan te raden, om de volgende reden:

Ik had een abonnement afgesloten in Google Plee voor een app met telefoon-rekening als betaalmethode. Wilde ik dat opzeggen, de app verwees me naar Google en Google naar de app, onmogelijk!

Telefoonrekening verwijderen om me niet langer te laten bestelen kan niet bij die gore hufters van Google Plee, als dat je primaire betaalmiddel is.

Wat je doet: Virtuele Revolut creditcard injecteren als primaire betaalmiddel bij Google Plee, daarna telefoonrekening verwijderen, en daarna bij Revolut je creditcard verwijderen.

Hufters van Google janken nog steeds dat ik geen betaalmethode meer heb, maar ze kunnen mooi ongezien de ty### krijgen!
En daarom zet ik altijd een watermerk op mijn paapoortfoto's. Zoals 'alleen voor ing bank, sept 14, 2026'.
Die verificaties worden niet door mensen gedaan, dus is maar de vraag of het geautomatiseerde proces dit weigert (bij niet ING).
Alleen zijn banken binnen Europa gemachtigd een rekeningaanvraag of andere verzoeken te blokkeren indien het geen originele en onaangepaste kopie is. Dus waar dit bij andere bedrijven werkt - en zeker ook gedaan moet worden! - werkt dit niet voor banken zo vanwege de vele antiwitwaswetgeving.
Dit geldt alleen bij identificatie op afstand.
Bij identificatie waarbij de persoon fysiek aanwezig is, mag de pasfoto afgedekt worden en een watermerk aangebracht worden. De bank is verplicht hieraan mee te werken.

Bron uitspraak KIFID :https://web.archive.org/web/20230202082346/https://www.kifid.nl/kifid-onbewerkte-kopie-van-id-bewijs-vastleggen-is-in-strijd-met-de-avg/

[Reactie gewijzigd door Boekenkaft op 14 september 2026 16:41]

Dat klopt zeker, alhoewel het in dit geval gaat om een zogeheten neobank zonder fysieke locaties en hoogstwaarschijnlijk om een autoriteit buiten Nederland om. De Nederlandse interpretatie en verplichtingen binnen de AVG zijn niet altijd één of één over te nemen naar andere Europese landen.
AVG is een Europese wet en geldt dus binnen geheel Europa.
Niet helemaal. De AVG/GDPR is in heel Europa hetzelfde, maar de AVG verwijst voor verschillende soorten gegevens door naar de nationale wetgeving en het lokale arbeidsrecht van elk land. In Nederland heeft men de UAVG (Uitvoeringswet AVG) bijvoorbeeld.

Praktisch voorbeeld: ik woon in Zweden en iedereen kan gebruik maken van zoekmachines om iemands huisadres, partner, geboortedatum, Zweedse variant van BSN, afgedragen belasting, inkomen, eigen bedrijven, enzovoorts te vinden. Onder de Nederlandse implementatie van de AVG is dit verboden omdat dit als doxxing gezien wordt. Dit terwijl de gegevens exact hetzelfde worden gezien binnen de AVG.
Hoe zit het met de categorie "bijzondere persoonsgegevens", zoals je pasfoto?
In Nederland mag die niet opgeslagen worden door een bank. In Zweden wel?
Hoe zit het met de categorie "bijzondere persoonsgegevens", zoals je pasfoto?
In Nederland mag die niet opgeslagen worden door een bank. In Zweden wel?
Ik moest me een tijdje geleden identificeren bij de ASN waarbij een ook nog gezichtsscan werd gemaakt en mijn ID kaart digitaal werd uitgelezen. (ze hadden er al scans van bij de opening van de rekening in 02-'22)
Benieuwd wat ze daarvan hebben bewaard.
Banken hebben op grote schaal onbewerkte kopieën opgeslagen. Dat betekent dus met onafgedekte pasfoto. Dit is alleen toegestaan indien het gaat om identificatie op afstand, of als iemand uitdrukkelijk toestemming heeft verleend. Enorm veel van deze kopieën zijn in strijd met de wetgeving.

Banken horen uitleg te geven welke gegevens zij verplicht moeten verzamelen en welke optioneel zijn. Zo horen ze uit te leggen dat de pasfoto onder "bijzondere persoonsgegevens" valt en banken niet wettelijk verplicht zijn deze te bewaren. Er is geen wettelijke plicht voor het meenemen van de pasfoto bij het opslaan van een kopie. Banken verwijzen vaak naar de WWFT, doch die vraagt niet om de pasfoto. Soms verwijzen ze naar hun algemene voorwaarden, echter als daar een voorwaarde staat die verplicht pasfoto mee te nemen op de kopie, dan is dat een inperking van je rechten en zo'n voorwaarde wordt door een rechter nietig verklaard.

Als jouw bank een onbewerkte kopie, dus met pasfoto, heeft opgeslagen tijdens identificatie waarbij je fysiek aanwezig was, je niet heeft verteld dat je het recht hebt om de pasfoto af te dekken, je geen expliciete toestemming hiervoor hebt gegeven... Dan is deze opslag onrechtmatig. Je kunt je bank hierop aanspreken en eisen dat de kopie aangepast wordt en de pasfoto verwijderd.

De uitspraak van het KIFID is hier duidelijk over. Laat je niet wegsturen met het feit dat later bleek dat het daar om identificatie op afstand ging. De uitspraak geldt nog steeds voor een identificatie met fysieke aanwezigheid.

Nogmaals link KIFID uitspraak:
https://web.archive.org/web/20230202082346/https://www.kifid.nl/kifid-onbewerkte-kopie-van-id-bewijs-vastleggen-is-in-strijd-met-de-avg/

Toevoeging: Je mag ook op de kopie vermelden door wie de kopie gemaakt is. Dit wordt ook door de Rijksoverheid aangeraden, inclusief het afdekken van pasfoto.

De AP (Autoriteit Persoonsgegevens) wekt via hun site de indruk dat de onbewerkte kopie voor banken verplicht is. Zij vermelden daarbij niet dat dit alleen geldt voor identificatie op afstand.
Ik heb er bij AP meer dan eens op gewezen dat hun info misleidend is, maar ze doen niets met met deze klachten.

[Reactie gewijzigd door Boekenkaft op 14 september 2026 22:51]

De rekening is in '22 digitaal geopend met inderdaad complete scans van de ID kaart.

De opdracht van de bank:
Kopie identiteitsbewijs uploaden
Wij hebben een kopie (foto of scan) van uw identiteitsbewijs nodig. Zorg ervoor dat de kopie met al uw gegevens goed leesbaar is, dus ook uw pasfoto en uw BSN. Tip: verwijder na het uploaden de foto of scan van uw apparaat om misbruik te voorkomen.

Ik ga toch maar eens bellen met de bank ;)
Uploaden betekend dat het een identificatie op afstand betrof... Dan is onbewerkte kopie wel toegestaan.

Alleen als je persoonlijk naar de bank toegaat of een bankmedewerker naar jou toekomt is er sprake van identificatie met fysieke aanwezigheid.
Los van de bankenkwestie; in BE (en ik vermoed ook NL en andere landen), wordt je pasfoto opgeslagen in een overheidsdatabank. (in kleur zelfs, dus vooraleer de verwerking gedaan is door het procédé voor een ID te maken)

Ik zag al genoeg pv's voorbij komen waarin letterlijk staat: Na opzoeking in het rijksregister (= belgische databank voor persoons en id gegevens) vonden we volgende foto's terug. Met daarbij de foto (in kleur) van de desbetreffende persoon.
In Nederland wordt de pasfoto door de overheid inderdaad opgeslagen bij uitgave van een legitimatiebewijs en/of rijbewijs. Dit is een wettelijke plicht. Banken hebben die plicht niet.

Mocht justitie toegang willen hebben tot die foto's, dan dient dat via een rechter goedgekeurd te worden.
Bij banken is de toegang sneller geregeld, dat noemen sommigen dan ook de motivatie van banken om zo agressief (ze dreigen met blokkeren rekening etc.) de pasfoto's te verlangen.
Voor opsporingsdoeleinden is de opslag door overheid enigszins gewaarborgd door een rechterlijke toetsing. De snellere toegang tot de info via banken is gevaarlijk en ongewenst.

Opslag pasfoto door banken is meestal (bij identificatie op afstand mag het) illegaal en vormt een onnodig extra risico.

Wat betreft verplichting kopie bij identificatie op afstand: Je kunt ook vragen om bankmedewerker langs te laten komen, dan is het ook een identificatie met fysieke aanwezigheid. Bij één bank heb ik dit gevraagd en toen was het ineens voldoende om een screenshot van mijn persoonsgegevens van "mijn belastingdienst" op te sturen. In het verleden kregen sommige mensen zelfs geld aangeboden voor het meewerken aan het maken van een kopie (35€).
Wanneer mogen we dit soort bedrijven financieel aanklagen en hier gewoon zwaar voor vergoed worden.. dit is het zoveelste bedrijf al :S
Die mogelijkheid is er gewoon. AVG geeft 'slachtoffers' het expliciete recht om bij verwerkingsverantwoordelijke een schade claim te eisen na een 'inbreuk'. Dit doe je middels een civiele procedure. Schade kan en mag zowel materieel als immaterieel zijn. Je moet wel aantonen dat de schade bestaat en door het datalek is ontstaan.
Naja dat vind ik dus zo ruk. Je moet dan zelf maar bewijzen dat je schade hebt opgelopen en hoe bewijs je in vredesnaam dat dit door dit specifieke datalek ontstaat.


Kortom je staat compleet kansloos in dit soort zaken.
Wat een onnodig fatalistische conclusie, zeg.

Immateriële schade vereist geen technisch bewijs. Het is vrij gemakkelijk aan te tonen dat je betrokken bent bij het datalek, want daarover wordt je door Recolut zelf geïnformeerd.

Als jij daarna stress ervaart, wakker ligt of geen vertrouwen meer hebt in het online bankieren en je kan aantonen dat die klachten begonnen na de mail van Revolut, dan ben je al een heel eind op weg.

Voor juridische bijstand kan je gratis naar jouw lokale Juridische Loket gaan.

Als je het belangrijk genoeg vindt, maak je er werk van. En anders is het of niet belangrijk genoeg of dan moet je niet verwachten dat iemand spontaan voor jouw rechten opkomt.
Huh? Het is juist wel nodig dat je hard kunt maken dat het bedrijf verwijtbaar heeft gehandeld en welke concrete financiele schade je hebt geleden. Dat is in de praktijk heel moeilijk. Zie bijvoorbeeld deze uitleg van jurist Arnoud Engelfriet.
Ik zie geen contradictie tussen het artikel en wat ik schrijf. Dat het gemakkelijk is om het te concretiseren heb ik niet gezegd.

In geval van immateriële schade gaf ik aan dat je deze schade moet aantonen. Concreet bewijs kan bestaan uit medische (geestelijke) diagnoses of behandelingen naar aanleiding van een datalek.

Ik kan goed begrijpen wat Engelfriet schrijft over dat er vaak eigenlijk amper daadwerkelijke schade is; en dat dit mede is waarom veel claims niet slagen.

Punt is dat je helemaal niet kansloos bent indien je aantoonbaar schade hebt geleden. Als er aantoonbare schade is dan begin je gewoon die procedure en laat je het recht zegevieren.

Als je onvoldoende kan aantonen dat je schade hebt, of kan aantonen dat de inbreuk daar de oorzaak van is, of daar een onevenredige vergoeding voor vraagt, is het terecht dat je geen vergoeding krijgt.

Misschien lijkt het kansloos, omdat verreweg het grootste deel van bekende gevallen kansloze procedures waren.
Hoe weet ik of ik ook een slachtoffer ben? Ik heb mijn revolut account al opgezegd maar het is wellicht te laat.
Je zou altijd kunnen controleren of je account gelekt is via Have I Been Pwned
deze hack staat er helaas nog niet op, dus is nog even afwachten...
Normaal zou je door Revolut gecontacteerd moeten zijn:

"A Revolut spokesperson confirmed to TechCrunch that a “limited” number of customers were impacted and said the company had contacted those customers directly."
https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/
Dit soort Hyper-start ups, in 4 jaar tijd van 365 naar 10909 werknemers. Met daarbij een mix van echt geld, en euro gekoppeld crypto's worden door mij en de ECB toch een beetje "eng" gevonden.

Wikipedia: Revolut
https://www.ft.com/content/7cc86162-f68c-4772-b7ce-9c72dfb15f05?syn-25a6b1a6=1
Snap het wel, maar aan de andere kant valt het gewoon onder een Lithouwse bank en het Europese bankenstelsel.. is gewoon tot 100k verzekerd door de overheid.
Dus voor de rijkere personen hier, gewoon niet al je geld op 1 rekening zetten ;D
Underrated comment.

Overal reclames, ze sponsoren zelfs F1, het gaat allemaal iets te snel.
Op de selfie na staan al mijn gegevens toch al op het darkweb. Bedankt Odido. Dus ja dat Revolute zo ook lekt. tja.....
Die selfie maakt het nu nog erger.. Nu zijn alle gegevens compleet om ergens een rekening o.i.d. te kunnen openen met jouw gegevens inclusief identificatie...
De selfies hadden mijns inziens direct na verificatie verwijdert moeten zijn. Dat zijn (semi) biometrische gegevens.
Ja godver, niks is veilig... dus ligt mijn paspoort eventueel op straat. En mijn overige gegevens wellicht.
Je paspoort EN* de selfie die je moet maken om te 'bewijzen' dat jij het echt bent. Dus eigenlijk alle gegevens die nodig waren om een Revolut rekening aan te maken op mijn naam.

In eerste instantie merk ik er niets van als er ergens op mijn naam een rekening aangemaakt wordt met mijn paspoort en selfie (filmpje). Ze registreren die rekening of andere verplichting natuurlijk niet op mijn e-mail adres en telefoonnummer, maar wel op mijn (adres)gegevens en geboortedatum. Pas als er politie of deurwaarderbrieven komen weet ik dat er gegevens misbruikt zijn. :-|
Nou lekker dan ;). Ik zou echt graag dit soort real life verhalen willen horen en kijken wat er tegen gedaan kan worden.
Ik vraag mij oprecht af op welke schaal dit daadwerkelijk (succesvol) plaatsvindt.

Niet naïef bedoeld, maar uit interesse.
Ja, lijkt mij ook interessant. Wat is de feitelijke kans en wat is de schade. Maar kan mij ook voorstellen dat een onderzoek waar uitkomt hoe op de meest efficiënte manier fraude gepleegd wordt met gestolen gegevens op ongewenste verhoogde interesse kan rekenen.

Fraudehelpdesk heeft wat cijfers, die monitor identiteit word ik ook niet echt wijzer van daar staan wel voorbeelden in, maar de onderzoeksgroep is zeer klein, en de fraude is niet specifiek genoeg, hier zitten ook fraudes door (ex)familieleden in. Ook het CBS is heel algemeen over online fraude.
Ze weten wie de getroffen klanten zijn, dus als je geen bericht ontvangt, en je (dat is het lastige) vertrouwt wat wordt aangegeven, dan is er voor jou geen probleem.
Tijd dat er eens een vaste schadevergoeding per datalek komt, sta je er in dan ontvang je 1000 euro ofzo, mogelijk gaat men dan echt eens werk maken van security. Eerst Odido en nu Revolut. Gewoon simpel, je komt voor in datalek, dan verplicht schadevergoeding uitkeren. Kan je om de paar maanden een nieuw ID van kopen..
Daarmee zou worden voorbijgegaan aan een belangrijk uitgangspunt in de Nederlandse rechtsorde, namelijk dat schadevergoedingen in verhouding dienen te staan tot de daadwerkelijk geleden schade. Daaruit volgt bovendien dat die schade meetbaar dient te zijn, of tenminste in geld te kwantificeren is.

Een bedrag van € 1000 kan daarom nooit het karakter van een schadevergoeding hebben. Het heeft immers geen enkele relatie met de kosten van een nieuwe identiteitskaart. En het ongemak dat je ondervindt is uiterst vervelend, maar ongemak is niet hetzelfde als aantoonbare financiële schade en geeft daarom geen algemeen recht op financiële vergoeding.
Er is ook geen negatieve prikkel om het wel goed te regelen. Bedrijven maken winst en komen er te gemakkelijk mee weg.

Om te kunnen reageren moet je ingelogd zijn