Home   2026-10-22 19:56:51

←

Revolut laat paspoortkopieën uitlekken na nepverzoeken via overheidsmailadres

Original article

Het Britse Revolut heeft gevoelige klantdata laten uitlekken aan een ongeautoriseerde derde partij. Het bedrijf kreeg frauduleuze verzoeken van een legitiem overheidsmailadres. Volgens de bank is een beperkt aantal klanten getroffen. Uit welke landen zij komen, is niet bekend.

De uitgelekte data bevat onder meer geboortedata, adressen, e-mailadressen en telefoonnummers van klanten, zegt TechCrunch. Daarnaast zijn kopieën van identiteitsdocumenten uitgelekt, zoals rijbewijzen en paspoorten. Mogelijk bevat de data verder selfies gemaakt voor verificaties, bankafschriften en transactiegeschiedenissen.

De data werd uitgelekt nadat een onbevoegde derde partij een legitiem e-mailadres van een overheidsinstantie gebruikte om frauduleuze informatieverzoeken in te dienen, zegt een woordvoerder van Revolut tegenover TechCrunch. Na het ontdekken van de scam werd het e-mailadres geblokkeerd en de politie gebeld. Ook is de betreffende overheidsinstantie op de hoogte gesteld.

Revolut benadrukt dat het incident geen gevolgen heeft voor zijn systemen of het geld van klanten. Met getroffen klanten is contact opgenomen. Om hoeveel mensen het precies gaat, is niet bekendgemaakt.

Revolut op mobiel. Beeld ter illustratie
Revolut op mobiel. Beeld ter illustratie

Door Eveline Meijer

Nieuwsredacteur

Feedback • 14-09-2026 07:47
157 • submitter: Dylan-V

14-09-2026 • 07:47

157

Submitter: Dylan-V

Reacties (157)

Maar even he...

"zoals rijbewijzen en paspoorten. Mogelijk bevat de data verder selfies gemaakt voor verificaties,"

Serieus?!?! Dit stuurt revolut naar een overheids instanties via reguliere mail? Ik werk zelf bij een overheidsinstelling en voor dit soort zaken verplichten wij het gebruik van een beveiligde omgeving voor bestand uitwisseling of een extra email beveiliging zoals Zivver of PGP.

Erg slordig dit!

[Reactie gewijzigd door copywizard op 14 september 2026 07:56]

Het verzoek is per mail gedaan; Revolut kan alsnog alles vanuit een beveiligde omgeving hebben verstuurd; je kunt hieruit geen conclusie trekken.
Daar lijkt het wel heel erg sterk op, want ze schrijven dit:

Revolut confirmed that it disclosed sensitive customer information to an unauthorized third party after receiving fraudulent requests sent from a legitimate government agency email domain.

Als de gegevens op een andere manier waren uitgewisseld via een platform wat in dit proces gebruikt word, dan hadden de hackers daar geen toegang voor en was de data dus ook niet gelekt.
Als dat de normale modus operandi tussen Revolut en de overheidspartij is geweest, zoiets als van vertrouwde instantie als jan.agent@poltietie.nl, dan zijn imho beide partijen nalatig geweest.

Ik vind eigenlijk dat daar nu onderhanden wel een standaard EU portaal voor hoort te zijn met 2FA van beide kanten, en dat daar ook aan beide kanten iemand zit die voor verantwoording goedkeuring geeft.

Als ik op werk een werkvergunning met verhoogd risico hier uitschrijf voor werkzaamheden, vindt er verplicht bij wet een tweede beoordeling plaats die nog eens kijkt of ik de risico's wel goed heb ondervangen.
Het zou volgens mij niet makkelijk mogelijk moeten zijn om 100 klanten gegevens door te sturen geauthriseerd door een persoon. Als ik de daglimiet van mijn bankoverschrijving wil veranderen zit er een tijdslot op. Dat soort beveiligingen kun je ook hiervoor verzinnen. Om het moeilijker te maken. Net als diefstal in een huis bepaalt de moeilijkheidsgraad of er in je huis wordt ingebroken want honderd procent voorkomen is onmogelijk. Denk maar aan de politiemol in Brabant.
en zeker revoluut die is naar mij als klant heel streng als ik veel geld wil overschrijven lukt dat nooit , wordt meteen als witwasser of andere crimineel behandeld, ik gebruik daar nu een andere bank voor.
Welke bank, als ik vragen mag?
Wat is er veilig als de medewerkers dit soort dingen vrijwillig versturen? Daar is geen beveiliging tegen opgewassen. Dit soort dingen gaat als het al gaat zeker niet via de mail. Daar is een reden en een officieel verzoek voor nodig. Dat hoort een bank te weten.
Wat als het een regulier verzoek was? Het werkt niet overal zoals in Nederland.
Dan begrijp ik het nog niet.

Want ook een overheidsinstantie kan toch niet zomaar informatie opvragen?

Ik heb jaren voor een bank gewerkt. En daar ook met ad-hoc informatie verzoeken te maken gehad. Maar zonder expliciete getekende machtiging vanuit de specifieke instantie kregen ze echt geen informatie mee. En ook werd de legitimatie van de verzoeker getoetst. En de informatie die ze wel kregen was geen letter meer dan wat op de machtiging stond.

Overige (wettelijk verplichte) uitwisseling ging uitsluitend via daartoe ingerichte kanalen.
maar buitenlandse overheden kunnen ggegevens iop vragen bij revoluut vanm ij als nederlander ? kennelijk wel er waren meercdere nationaliteiten gelekt
*In Nederland.

De wereld is groot en niet elk land ter wereld heeft zijn IT-voorziening perfect geregeld.
Als CISO bij enkele fintechs en banken in het verleden: dit soort verzoeken komen gewoon per mail binnen.
Wat is er veilig als de medewerkers dit soort dingen vrijwillig versturen
Wat als het zelfs 'company policy' is...
Niks. Social engineering is veel effectiever dan welke hack dan ook op dit moment bekend.

Er moet een techniek worden gebruikt die ik altijd "defensief programmeren" heb genoemd. Je moet je niet alleen tegen eindgebruikers of kwaadwillende verdedigen maar ook tegen personeel dat het systeem gebruikt en al hun stomheid.
Als Revolut de gegevens via de beveiligde omgeving van dit betreffende "government agency" heeft verstuurd is er geen datalek. Dan zijn de gegevens ondanks een vals verzoek namelijk bij de echte government agency terechtgekomen en niet bij de scammers.

Is misschien in de strikt juridische zin nog steeds een datalek, maar dan is het niet bij de kwaadwillenden terechtgekomen.
Een datalek gaat niet alleen over bij welke bedrijven/instanties data terecht komen. Het kan ook prima binnen één organisatie gebeuren. Een mailtje naar de verkeerde collega kan genoeg zijn als het om gevoelige gegevens gaat (dan hoeft de data niet in die mail te zitten, maar denk ook aan de credentials om toegang tot een beveiligde omgeving te krijgen, wat nog wel eens via de mail gaat).
Wanneer ik de verkeerde e-mail per ongeluk naar mijn eigen privé e-mail stuur is eigenlijk al voldoende... Ik vermoed echter dat 99,99% van dat soort gevallen niet gemeld zullen worden.
Een beveiligde omgeving van de overheid die beland bij hackers?
edit:
Oeps, ik Had Sluuut reactie nog niet gezien

[Reactie gewijzigd door moimeme op 14 september 2026 21:53]

Nog geschifter: hoezo kunnen overheden dit zomaar opvragen? Wie zijn zij en welk belang hebben zij om dat op te vragen, en moet dat niet via een rechter? En die selfies waren toch alleen ter verificatie, met andere woorden: alleen op dat moment? Hoezo zijn ze én bewaard én gekoppeld aan jouw account?
Van de Autoriteit Persoonsgegevens.
Selfies is geen kopie van identiteitsbewijs.
Dus de vraag blijft, waarom bewaarde ze die?
Ik vermoed om aan de wet te voldoen (wetten.nl - Regeling - Wet ter voorkoming van witwassen en financieren van terrorisme - BWBR0024282)
Een instelling die op grond van deze wet cliëntenonderzoek heeft verricht, of bij wie een cliënt is geïntroduceerd conform de procedure van artikel 5, legt op opvraagbare wijze de documenten en gegevens vast die zijn gebruikt voor de naleving van het bepaalde in artikel 3, tweede tot en met vierde lid, artikel 3a, eerste lid, artikel 6, eerste en tweede lid, artikel 7, tweede lid, en artikel 8, derde tot en met zesde en achtste lid.
Maar ik heb het niet volledig uitgezocht en ben geen advocaat, dus ik weet niet of het strikt nodig is om specifiek deze gegevens te bewaren.

Uiteraard is dit ook alleen de Nederlandse wet en moet Revolut aan wetten uit allerlei landen voldoen.

[Reactie gewijzigd door hoeksmarp op 14 september 2026 09:37]

Identiteit vaststellen is niet enkel een kopie van de id, maar ook het bewijs dat de id in handen van de rechtmatige persoon is en daar dient die selfie voor. Dat moet helaas omdat we niet meer in persoon naar een balie gaan.
Dit is met de huidige stand van AI een zeer zwakke beveiliging, met image creatie is dat makkelijk voor elkaar te krijgen, Het is de hebzucht van de grootbanken, die er voor gezorgd hebben dat fysieke banken, met hun controle mechanisme, ter plaatsen, niet meer bestaan, alles moet jezelf doen, je staat in dienst van de bank, want je doet werk voor de bank, die vroeger gedaan werden, door bankmedewerkers, die liggen eruit, en een fysiek bankkantoor is niet meer te vinden, en de lachende derde zijn de aandeelhouders, lekker efficient, en de burger doet het ook nog.


Ik zie ze high five's geven in de bestuurskamer, dat hebben we goed gedaan.
Tja heel de wereld is veranderd afgelopen jaren. Je bent ook caissière in de supermarkt en zelfs kledingwinkels tegenwoordig. Je moet alles zelf doen. Geen menselijk contact meer. Individualisme is het uiteindelijke doel, dat is het makkelijkst onder controle te houden bevolking.
Vind veranderingen niet erg die horen erbij, maar dat zegt niet dat alle veranderingen goed zijn, We zijn nog nooit zo rijk geweest als land, als wereld, maar tegelijkertijd, ook niet zo ongelukkig, dit wordt geprobeerd op te worden gelost met het adagio "for every ill there is a pill) maar mensen zijn sociale wezens, die willen elkaar over het algemeen in persoon ontmoeten, en niet via sociale media, in mijn woord is dat Asociale media, onze breinen zijn niet heel erg veel veranderd dan uit de tijd dat we nog in grotten woonde, of over de steppen liepen, evolutie, is nu eenmaal niet Revolut pun intended.
met hun controle mechanisme, ter plaatsen, niet meer bestaan
Ik dacht dat zij moesten het ook aanbieden.

Persoonlijk kon ik het toen de verificatie werd ingevoerde zo'n jaar geleden bij ing (betaalrekening), asn (spaarrekening) en kan ik het bij rabobank (toekomstige rekening).

Mijn Id werd wel gekopieerde.

[Reactie gewijzigd door moimeme op 14 september 2026 22:25]

Ik snap niet wat de noodzaak is om een kopie identiteitsbewijs te bewaren, voor welke instelling dan ook. Op het moment dat het identificatieproces is doorlopen is er geen belang meer om dit te bewaren. Andersom, het risico op een datalek vergroot het belang om het te verwijderen.

Wanneer op een moment twijfels ontstaan over de validiteit van een eerdere identificatie kun je beter opnieuw identificeren dan oude kopieën erbij pakken.
Bewijslast. Om aan te tonen bij de overheid dat je die check hebt gedaan. Het zou leuk zijn als we een centraal systeem hebben waarmee dit soort controles vanuit een organisatie aangevraagd kunnen worden, waarna ze onder vermelding van een dossier-nummer bewijsmateriaal hebben richting de overheidsinstanties. Iets met 1 Europa.
De overheid is de wetgever en heeft een controle taak om te zien of de wet wordt nageleefd. Dus fraudebestrijding is zo'n belang waarmee ze deze gegevens kunnen opvragen.

Wat veel erger is, is dat er blijkbaar een ongeautoriseerde partij een email adres of domein van de overheid gebruikt. Is die overheid gehackt?
De overheid is inderdaad de wetgever, maar ook de wethandhaver, en daar gaat het gruwelijk mis, het hele juridische systeem is overbelast, een rechtszaak kan jaren duren, en de enige die daar lachend rijk van worden zijn de jasjes dasjes en mantelpakjes van advocaten en andere juristen.
Ook als er een mailbox van een ambtenaar is gecompromitteerd, roept het vragen op hoe dit precies kon gebeuren, want volgens de wet moet er toch eerst een bevel van de Officier van Justitie of iets dergelijks overlegd worden voor een bedrijf als Revolut dergelijke gegevens hoeft te geven.
want volgens de wet moet er toch eerst een bevel van de Officier van Justitie of iets dergelijks overlegd worden
Vroeger wel, sinds eind 2021 niet meer, sinds Grapperhaus en Hoekstra.

Het wetsvoorstel voor de Wet Verwijzingsportaal Bankgegevens regelt dat banken en andere financiële instellingen die rekeningen met een IBAN-nummer aanbieden worden aangesloten op een portaal waarin overheidsdiensten geautomatiseerd gegevens kunnen opvragen over klanten van deze instellingen.

Dat zijn: De Politie, het Openbaar Ministerie, de Belastingdienst, de Financial Intelligence Unit (FIU) en bijzondere opsporingsdiensten (ik denk tooi, aivd en mivd)

Edit: Er zijn meer.

Maar deze weg werd dus niet bewandelde.

[Reactie gewijzigd door moimeme op 14 september 2026 22:46]

En dat is het geen dat je vooral "serieus" vind? Niet het feit dat het blijkbaar heel makkelijk was om te doen alsof je van overheidsinstantie XYZ bent, en Revolut zomaar de gegevens doorgeeft?????
Hebben ze zich voorgedaan ? Bericht zegt :legitiem e-mailadres van een overheidsinstantie gebruikt. Dus dan is het verzoek wel gekomen vanuit een legit adres/instantie. Ligt een deel van het probleem dan ook niet bij de instantie
Zo klinkt het wel, die instantie had mogelijk de mail beveiliging niet op orde waardoor ze dat mailadres konden spoofen.
Bedoel je dan enkel de overheidsinstantie (de e-mail verzender)?
Die moeten idd DMARC/DKIM/SPF instellen,

Maar de ontvangende kant is net zo goed verantwoordelijk, die moeten er namelijk voor zorgen dat de dingen die ingesteld staan gecontroleerd/geverifieerd worden.

maar de tekst leest als kan ik er mij ook niet aan onttrekken dat naast bovenstaande settings er ook iemand was met inside information (kende de afzender, de inhoud van een daadwerkelijk legitieme mail, en ook de procedure voor het retour sturen van de informatie riep geen vraagtekens op)
Dan gok ik er op dat iemand gewoon achter het wachtwoord van de ambtenaar is gekomen die normaal dergelijke verzoeken doet, in de mailbox eerdere correspondentie met Revolut terug heeft kunnen lezen, om daarna soortgelijke verzoeken te sturen maar dan toegespitst op bepaalde klanten.
Of de ambtenaar in kwestie heeft zijn werklaptop thuis/restaurent/hotel en laat die unlocked staan met even boodschap doen. Huisgenoot wie dan ook zit achter de laptop en we hebben een lek. Je maakt de gekste dingen mee.
Nare bijkomstigheid is dat spammers en phishers vaak beter grip hebben op e-mail deliverability dan (overheids)instellingen zelf :') Een behoorlijke check op sender authenticity is minder relevant dan end user awareness, helaas. In dat opzicht is e-mail ook wel toe aan venieuwing (er is überhaupt geen delivery time norm of specificatie, bijvoorbeeld).
Zoals ETH0.1 ook zegt, een ontvanger moet ook hun beveiliging op orde hebben en iets doen met dmarc, anders heb je er nog niet veel aan.
Veel bedrijven hebben hun mailclouddiensten geoutsourced naar de Microsofts en Googles van deze wereld. (dus niet meer intern een eigen mailserver e.d.) Dus dat zou an sich wel goed geregeld zijn voor veel zaken.
Assumption is the mother of all fuckups
When you assume, you make an Ass out of U and Me.
"Revolut recently identified a sophisticated external impersonation scam where an unauthorised third party utilised a legitimate government agency domain email to submit fraudulent requests for information"

Ik lees dit als: Ze hebben een nep e-mail ontvangen met een legitiem From adres. Ik gok met een ander Reply-To. Mogelijk had het betreffende "legitimate government agency domain" dan geen SPF geconfigureerd

Maar het maakt het allemaal niet minder kwalijk. Het wekt de indruk dat als ik bij bijvoorbeeld de politie werk in een burger functie (niet beedigd) ik ook een verzoek naar Revolut had kunnen sturen.
Mogelijk had het betreffende "legitimate government agency domain" dan geen SPF geconfigureerd
Misschien maken ze wel gebruik van een third party mailprovider. Hoe goed functioneert je SPF dan nog?
Ik lees een hoop aannames. Misschien dit, misschien dat. Kan ook zomaar zijn dat die relatie de zaken niet op orde had. Insider risk geldt ook bij toeleveranciers.
Precies! Ik krijg hier het gevoel dat het echte schandaal is dat er bij een overheid is ingebroken. En daar hebben we nog niks van gehoord.
Ik ga er vanuit, dat de gouden pot aan het einde van de regenboog de grootste motivator is geweest, zoals het voor de meeste nieuwerwetse banken er aan toe gaat, maar ik wil een saaie bank, ik wil geen flashy bank, waar ik niet van weet hoe en wat, saai, en terdege meer niet.
Als de betreffende overheid de cloud-mail-diensten van Microsoft (of Google of één van de andere grote spelers) gebruikt, dan heb je niet zo veel aan SPF. Die SPF moet dan effectief het hele mail-cluster van Microsoft (of Google, enz.) toelaten.

SPF en dingen als DKIM zijn maar beperkt zinvol nu alles via cloud-diensten gaat.

Anekdotisch: Ik draai m'n eigen mailserver op een VPSje. Ongeveer 80-90% van alle spam/phishing/enz die ik ontvang, komen van de mailclusters van Google af. (dit baseer ik op de ip-addressen van de sturende mailservers.)
Google heeft helaas geen loket om dit aan te melden. Die interesseert het blijkbaar niet dat zij verantwoordelijk zijn voor zoveel phishing-meuk. (want daarop handelen levert geen reclameinkomsten op.)
Dat de gebruikelijke maatregelen minder goed werken, merk ik in de praktijk aan het feit dat mail richting Outlook / Microsoft etc vaker niet aankomt, zonder foutmelding of wat voor terugkoppeling dan ook, ondank dat dezelfde mailtjes een perfecte score krijgen bij een 'spamtest'.

Ik kan het uiteraard in mijn eentje niet bewijzen, maar ik krijg de indruk dat de grote partijen dit bewust doen. Door 'andere' mailhosting onbetrouwbaar te maken, maak je het aantrekkelijk om ook naar Outlook over te stappen, want dan komen je mailtjes tenminste aan. Ik snap sowieso niet waarom bijvoorbeeld een eenmanszaak naar Outlook zou overstappen want dan heb je niets aan al die extra functies voor bedrijven.
Ipv een Reply-To (die dan niet opgemerkt zou moeten worden) lijkt het me logischer dat ze gevraagd hebben of ze de bestanden konden uploaden via een "veilige website". Die website is dan natuurlijk van de hackers en niet van de overheid. Paspoorten etc via E-mail versturen, dat zal een bank niet zo snel doen. Ook niet naar een overheidsinstantie.
Hooguit in een versleutelde RAR file. En dan het wachtwoord telefonisch voorzien oid.
En hoe ga je dat als hacker ontvangen als je een E-mail adres van de overheid hebt gespoofed?
Vragen of dit naar een e-mailadres X gestuurd kan worden want dat is een veilige plek om de bestanden te ontvangen. Een groot deel hiervan is social engineering.
Of ze hebben gewoon het email account van een medewerker weten te hacken. In de regel zijn nog steeds de gebruikers het zwakste punt in de schakel. Ik ben zo blij dat wij inmiddels de YubiKey verplicht hebben gesteld voor de Windows- en Linux logins.

Een medewerker kan nog steeds de YubiKey verliezen, maar nog steeds is de attackvector nu gigantisch veel kleiner. Het was wel lastig om ervoor te zorgen dat alle onderdelen correct met de YubiKey konden werken. Sommige services hebben wij achter een Pangolin proxy moeten plaatsen.

Backup account van de medewerker is een prive email adres. De supervisor van de medewerker (of de supervisor van de supervisor en zo verder omhoog in de piramide) kan de key blokkeren. Deze actie is instant. Er gaat vervolgens een email naar het prive adres van de medewerker (doordat de key niet meer werkt, kan deze niet bij de bedrijfs accounts). Via acties vanuit deze mail kan men de oude key weer activeren bijvoorbeeld omdat deze is terug gevonden, of men kan een nieuwe YubiKey koppelen aan het account.

Bij verandering van prive mail address worden er twee bevestigingen gestuurd. Een naar het oude adres en eentje naar het nieuwe adres. Alleen als beide zijn bevestigd wordt het nieuwe emailadres geaccepteerd.
Er word niet gesproken over een email account van een medewerker maar over een een legitiem e-mailadres. Alsof domeinnaam goed was.

[Reactie gewijzigd door moimeme op 14 september 2026 22:04]

Het is natuurlijk van de zotte als alleen het emailadres de verificatie is. Emails hacken is (zoals hier weer aangetoond) prima te doen.
...dus is die overheid misschien gehackt?
Nou, een mailadres kapen is één ding. Toegang krijgen tot een beveiligde omgeving voor bestandsoverdracht is wat anders. Dus dat had in dit geval de hele scam misschien wel kunnen voorkomen.

Toont maar weer aan dat je altijd een watermerk op een scan van een paspoort moet zetten.
Ligt er dan ook aan welke verificatiemethode je gebruikt voor die omgeving. Zivver staat gewoon toe om e-mail als verificatie te gebruiken, dat heeft nul toegevoegde waarde
Vaak wordt een watermerk niet geaccepteerd.

Wat eigenlijk belachelijk is..

Maar goed ik vraag me af of het tegenwoordig eigenlijk nog wel uitmaakt, m'n hele hebben en houden is al bij zeker 3 bedrijven inmiddels volledig gelekt.
Maakt zeker wel uit. Je gegevens hebben is 1 ding, een kopie paspoort zonder watermerk biedt nog veel meer mogelijkheden.
Zou je met AI niet vrij eenvoudig dit watermerk kunnen verwijderen? Dus zonder dat iemand Photoshop skills nodig heeft..
Of dat ze die selfies nog steeds hebben, bijvoorbeeld? :)
zoals rijbewijzen en paspoorten.
Bij welke bank kan men met een rijbewijs identificeren?
Bij welke bank kan men met een rijbewijs identificeren?
Kan niet voor alle banken spreken, maar bij ABN AMRO kan het in ieder geval, en dat is niet de kleinste:
Neem een foto van je identiteitsbewijs. Een betaalrekening openen via de ABN AMRO app kan met de volgende identiteitsbewijzen: 
  1. Nederlands identiteitsbewijs (identiteitskaart, rijbewijs of paspoort)
Wie zegt er dat het om Nederlandse identificatie en Nederlandse regels gaat?
Niet vergeten dat Revolut in vele landen actief is, en niet als land heeft een apart fysiek identiteitsbewijs/identiteitskaart(oa. UK, Denemarken,...).
Dus die moeten sowieso andere manieren gebruiken om iemand te identificeren, zoals het rijbewijs.
Je kan er je BSN mee bevestigen, dus dat kunnen ze prima gebruiken.
Met je rijbewijs? Hoe doe je dat dan? het staat er wel op maar geldt niet als officieel identificatiebewijs.
Rijbewijs is volgens de Nederlandse overheid wel een geldig identificatiebewijs. Er zijn wel wat uitzonderingen zoals ze beschrijven, maar een bankrekening aanvragen staat niet in dat rijtje.
Je hebt inderdaad gelijk. Toch accepteren niet alle banken een rijbewijs.
Wellicht willen die banken dit weten: "Dit komt omdat er op het rijbewijs geen gegevens over uw verblijfsstatus en nationaliteit staan".

Of het zou natuurlijk kunnen dat het voortkomt uit het feit dat 'vroeger' een rijbewijs geen identificatiebewijs was - vziw van voor er een pasfoto op kwam - en ze domweg hun beleid niet hebben aangepast.
Er zijn inderdaad een aantal zaken waarvoor de Nederlandse overheid zelf geen rijbewijs accepteert.

Maar ik vermoed dat de regelgeving voor banken niet voorschrijft wat voor identificatie document ze opvragen, maar wat voor informatie ze moeten verifiëren. Dat zie je vaker in EU voorschriften, omdat er verschillen zijn in ID middelen die landen aanbieden (zoals wel of geen ID kaart, kinderen die op een paspoort staan bijgeschreven, etc.). Als een rijbewijs alles bevat dat een bank nodig heeft, en de bank heeft er vertrouwen in dat ze de authenticiteit van een rijbewijs kunnen verifiëren, dan kunnen ze kiezen rijbewijzen te accepteren.
In ieder geval bij Rabobank en Revolut weet ik.
nooit consequenties voor dit soort bedrijven, laat ze 20% boete betalen van een jaarlijkse omzet en opeens zouden lekkages amper nog gebeuren
Het is niet alsof door dergelijke boetes de zwakste schakel opeens verdwijnt, helemaal waterdicht wordt het gewoon nooit, ook niet met dergelijke boetes. Sure, een bedrijf kan dan misschien denken om wat beter op te letten, maar het blijft een kosten/baten dingetje, hoe hoog de boete ook is.
Ik snap je punt, maar volgens mij blijft gewoon staan: waar mensen werken worden fouten gemaakt.
Het is niet alsof door dergelijke boetes de zwakste schakel opeens verdwijnt, helemaal waterdicht wordt het gewoon nooit, ook niet met dergelijke boetes. Sure, een bedrijf kan dan misschien denken om wat beter op te letten, maar het blijft een kosten/baten dingetje, hoe hoog de boete ook is.
Ik ben ook geen voorstander van boetes, maar juist voor bedrijven die security als kosten/baten-analyse benaderen is het goed, zo niet noodzakelijk, om een stevige financiële consequentie te stellen.
Hoewel ik het eens ben met dat de zwakste schakel niet verdwijnt met een boete, zou ik wel voorstander zijn met enige ruimte om eenvoudiger 'schade' te verhalen.

Naast het ODIDO lek nu deze weer. Als ik hier ook bij zit is het allemaal wel érg makkelijk om even wat aan te klooien. Als een kwaadwillende mijn;

- Naam/ geb. datum/ geslacht
- Tel/ e-mail adres/ adresgegevens
- Kopie ID/ Paspoort/ rijbewijs en selfie heeft
- Mogelijk rekeningnummer(s)
- Informatie over partner (want zat ook (oa) bij het ODIDO lek..)

Hoe moeilijk moet het worden om iets op mijn naam aan te vragen?...

Als ik dan in ieder geval een nieuw ID-bewijs wens omdat er dan een ander document nummer op staat; Dat betaal je dan lekker zelf maar. Even los van hoe fair of redelijk dat is; Je moet het ook maar kunnen betalen.

[Reactie gewijzigd door Thalaron op 14 september 2026 10:05]

Nee maar zoals bij de Odido hack was er echt wel meer aan de hand dan een succesvolle phising. Achter die succesvolle phising zit ook een groter onderliggend probleem van slechte beveiliging.
Hier gaat het om tot op heden een stuk kleinere groep mensen waar wel vermogen lijkt te zitten, maar bij Odido hadden ze feitelijk gewoon alles binnen gehaald. Elk persoon met ook maar een beetje basis beveiligings kennis weet echt wel dat er dan wel meer aan de hand is dan phising probleem.
Helaas is Odido ook verre van het enige bedrijf waar beveiliging onder de maat is, maar zolang instanties max een boete van 5% van de omzet mogen geven en het ook maar nooit in de buurt daarvan doet zal er ook weinig beweging komen bij bedrijven om hun beveiliging op orde te brengen. Zolang boetes een stuk lager blijven dan de kosten zullen ze geen stap in die richting gaan zetten. De meeste bedrijven kennen tenslotte enkel de regel om zoveel mogelijk van die 4 dooie presidenten binnen te halen.
Als je het goed leest, kan het omgekeerd zijn. De overheid hoeft natuurlijk nooit de kopieen te krijgen (ze hebben zelf die gegevens al, als bron).

Wat mij mogelijk lijkt: Revolut moet hun gegevens kunnen laten inzien, vanuit KYC auditing. Dan kan het mailtje zo dom zijn geweest als "we hebben een nieuwe auditor, kunnen jullie hem even credentials sturen op zijn prive-adres, want hij is nog niet helemaal on-boarded bij ons".

Dat zou ook verklaren waarom maar "een beperkt aantal klanten" is getroffen. Namelijk: de gegevens die met dat account zijn opgevraagd.*

Let op: ik weet *niet* hoe Revolut werkt, bovenstaande is giswerk.

*Wat nog wel in het tech crunch artikel staat: het doel was (blijkbaar, zie niet waarom) specifiek "high net worth users."

[Reactie gewijzigd door Keypunchie op 14 september 2026 07:59]

Zulke gegevens naar een prive adres? Geen bellen die rinkellen?

Hebben zij ook geld overgemaakte aan die nigeriaanse princesse?
Dat gebeurt ook, he?

Als het systeem zoiets toelaat, dan zal het gebeuren.
Yep, bij programmeren moet je van uitgaan dat geen foutmogelijkheid onbenut zal blijven.

[Reactie gewijzigd door moimeme op 14 september 2026 23:10]

Goed om in context te zetten dat revolut natuurlijk hier actief is maar ook in 40 andere landen. De Braziliaanse of Mexicaanse overheid werkt net even allemaal wat anders dan we hier gewend zijn ;)
Het uitwisselplatform lijkt me niet het grootste probleem in dit geval.
Nergens lees ik HOE Revolut dit uiteindelijk heeft gedeeld. Er staat alleen dat het verzoek kwam vanaf een legitiem overheidsadres. In dit bericht gaat het er denk ik ook niet om HOE het is gedeeld, maar DAT het is gedeeld. Het blijft een datalek, ook als ze het op een veilige manier delen.
Veel mensen oordelen direct hard over Revolut, maar laten we eerst kijken naar wat er daadwerkelijk is gebeurd en wat we hiervan kunnen leren.

​Revolut opereert wereldwijd en het ontvangen van informatieverzoeken via e-mail is in veel landen standaardprocedure. Als zo’n frauduleus verzoek binnenkomt vanaf een legitiem e-mailadres dat de overheid normaal gesproken ook gebruikt, ligt de verantwoordelijkheid bij beide partijen.

​In plaats van enkel met de vinger te wijzen, toont dit incident vooral aan dat dit hele proces fundamenteel onveilig is en hoognodig moet worden herzien.

[Reactie gewijzigd door timoootjex op 14 september 2026 12:10]

Zeker is het slordig, maar hoe goed je alles ook dicht probeert te timmeren, er zijn altijd mensen die gewoon handelen op eigen inzicht en daarmee allerlei regels overtreden.
Kom op nou, waar ik werk moeten wij zeer gevoelige informatie met de Belastingdienst delen via een werkwijze die niet alleen amateuristisch is, maar ook haaks staat op AVG.
Er staat toch helemaal niet dat dat niet gebruikt is? Als ik patiënt gegevens mail via zivver naar een legitiem adres en de ontvanger is niet legitiem kan ik daar volgens mij niet veel aan doen?
Kom uit de wereld van PGP en andere beveiligingssoftware, dit in de tijd dat het nog Network Associates was, dus ja opa verteld.

PGP is prima, oud maar door de 256 bit encrypted sleutel (nog) niet gekraakt, maar als degene die dit versleuteld, naar een legitiem gehackt adres stuurt, dan hebben ze hoog waarschijnlijk ook de sleutel in handen gekregen, we zullen meer en meer van dit soort hacks krijgen, het vertrouwen in alles online en in data centra te doen is veel te groot, automatisering is fijn, en gemakkelijk, maar mede door de komst van sterker wordende AI modellen, kan het niet meer op deze manier. Kopie paspoorten, een selfie ter identificatie, het lijkt wel een videotheek uit de jaren 80, en dat voor iets dat zich bank noemt bizar.

Grootste probleem is en blijft dat er geen online waterdichte identificatie plaatsvind, en laten we eerlijk zijn ik sta ook niet te wachten dat we Chinezen tafrelen gaan krijgen op al ons data verkeer, een betere vraag is: zouden, banken, verzekeraars, en de medische wereld, alles maar toegankelijk moeten maken voor iedereen? Want dat is wat je in principe doet, ongeacht je beveiligingsmaatregelen, het is nu maandelijks dat we over een grote hack lezen, managers ga niet voor gemak, ga altijd voor veiligheid, anders voorspel ik dat het systeem van controle, want dat is het natuurlijk, als een pudding in elkaar zal vallen.
Diensten zoals Zivver zijn een wassen neus. Het grootste probleem zit uiteindelijk bij de gebruiker.

1 foutje in het e-mail adres en je data ligt bij de verkeerde persoon. Hier kan je allerlei diensten tussen zetten of tegen aan gooien, maar zolang er foute adressen worden ingevoerd (wat heel menselijk is) heb je er helemaal niets aan!
Ik had dit ook eerder in Nederland of Belgie verwacht :(
Waarom gebruiken jullie nog Zivver voor dit soort zaken? Het is al een jaar een Amerikaans bedrijf, en tenzij ze dat aangepast hebben zijn de emails niet e2e encrypted, Zivver heeft de decryption keys in handen.
Revolut lekte niet, maar is opgelicht doordat overheidsinstantie mail niet veilig had

Of ben ik nu gek
Revolut lekt wel, want ze hebben die gegevens naar een derde partij verstuurd.

Het leek van een overheidsinstantie te komen, maar dat hebben ze niet goed geverifieerd door via een ander middel contact te leggen.
En weet jij in welk land dit is gebeurt en wat de daar geldende regels zijn?
nouja, "lekt".... het request kwam van een legitiem adres, dus er is iemand bij de desbetreffende overheidsinstantie gehackt/scammed/phished en daarlangs hadden ze dus toegang tot diens emailadres om de requests te doen.

enerzijds kan het dat daarop geantwoord werd (valt in belgie ook nog voor dat er via mail antwoorden verstuurd worden, hoe gek het ook klinkt), maar anderzijds: als die het "recht" had zulke requests te maken, zal die vast ook wel via een bepaald platform toegang gehad hebben tot die data.
en als daar geen 2fa opzat en een "reset password via email".... sja, dan mag revolut nog alles goed gedaan hebben, dan is de data nog steeds weg.

het is dus niet netjes (van beide partijen), maar het is hier wel in het groot revolut de volledige schuld geven, terwijl het misschien wel gaat om een procedure die ze voor dat bepaalde land moesten volgen (en dan konden ze dus niet zeggen "nee wij weigeren want dat is niet veilig op die manier")

ben eigenlijk wel benieuwd naar het land en de precieze omstandigheden, maar gezien er een overheid betrokken is zullen we dat vermoedelijk wel niet mogen gaan weten
Revolut lekte niet, maar is opgelicht doordat overheidsinstantie mail niet veilig had

Of ben ik nu gek
Gevoelige data (persoonsgegevens) is terechtgekomen bij onbevoegden. Meer is niet nodig voor de definitie van een datalek. Het hoe is niet zo spannend, de data is buiten de deur terecht gekomen waar het niet hoort.

Formeel is het al een datalek als je een mailtje van klant A per ongeluk forward naar iemand van klant B, waardoor klant B een paar email-adressen van klant A te zien krijgt. Het hoeft niet eens kwaad opzet van buitenaf te zijn: datalek is datalek, of het nou door een brakke firewall of een gebrekkige werkinstructie komt.
Zo zou je het kunnen interpreteren, feit is dat er te weinig details in dit nieuwsbericht staan om exact uit te sluiten wie nu schuldig is in dit verhaal.
Het gaat niet om de schuldvraag, feit is dat er wel degelijk gegevens gelekt zijn.
Het klopt dat er gegevens gelekt zijn, tegelijkertijd kunnen we niet herleiden of de actie van Revolut legitiem was ja of nee, gezien er een legitiem email adres is misbruikt.
Wat niet duidelijk wordt in de statement is hoe het kan gebeuren. Als ik eens ga deduceren / theorie op los laat: waarschijnlijk ergens in de supply-chain (in de vorm van dienstverleners voor het officiële domein). Je kan wel een mail spoofen van een werkelijk overheid domein, maar als je daarop antwoord dan krijg jij hem niet binnen natuurlijk.
Dan moet het:
  • Iemand zijn die er daadwerkelijk (heeft) gewerkt met een geldig overheid e-mailadres
  • Er is niet gecontroleerd op welke overheidsdomeinen een white-list is voor het vragen van dit soort gegevens
  • Iemand heeft (werkend bij of toegang gekregen tot) een systeem dat e-mail namens de overheid verstuurd en kan inzien (middels mailboxen aanmaken).
  • Het was geen officieel domein maar het leek erop (echter zeggen ze dat het wel een officieel domein was)
  • Het was een officieel domein maar is gekaapt door iemand anders (verlopen etc)
  • Ze stellen dat het domein nu geblockt is, misschien een opgeheven overheidsdienst waarvan iemand nog de inloggegevens had of is tegengekomen ergens.
In de UK is het meestal <dienst>.gov.uk (Wikipedia: .gov), die kan je normaliter niet vrij registreren. Daarom is een overheid TLD meestal wel handig, om zo beter te kunnen bepalen of iets echt is. Hier zit ook gelijk weer de fout dat iemand die geen toegang hoort te hebben toch toegang krijgt al een stuk sneller vertrouwd zal worden.

[Reactie gewijzigd door Kecin op 14 september 2026 07:58]

Of je stelt een ander reply-adres in en spoofed de mail :+.
Zeker! Ook nog wel een valide optie, gezien we niet weten of hun systemen hier een redelijke check op uitvoeren of überhaupt iets mee doen.
Ik begrijp dat niet alle landen zo strikt zijn als binnen de EU, maar zijn er werkelijk overheidsdiensten die op deze manier zouden kunnen werken?

Dat is denk ik de eerste vraag die beantwoord moet worden. De tweede is: er had geen belletje naar de betreffende persoon die gemaild heeft gemoeten om te verifiëren of het verzoek legitiem is (en nee, niet het nr. uit de e-mail)?

Ik mag van een bank, waar dan ook gevestigd, toch wel verwachten dat ze goede awareness training krijgen?

Tot slot laat het maar weer zien... hoeveel beveiligingsmaatregelen je ook treft. De mens blijft de zwakste schakel in het proces door social engineering.
En dit is nog maar het begin, als we leeftijdsverificatie al moeten identificeren.. Ik moet nu ook bij bol.com mijn id uploaden vanwege verificatie (wel via een derde partij). Ik ben daar wederverkoper, maar dit gaat mij dan weer net weer te ver. Want dan krijg je dit soort dingen
en daarom vertrouw nooit sites waar je een id heen moet sturen. discord reddit etc weg ermee.
Helemaal mee eens, maar dit is een bank, en bij banken ontkom je er helaas niet aan.
Inderdaad.

Heb toevallig net een hetzner account meteen na registratie verwijderd omdat ze, nota bene pas na die registratie, om een check met een identificatiebewijs vroegen.

Dan maar een andere online opslag oplossing.

[Reactie gewijzigd door AnonymousGerbil op 14 september 2026 13:50]

De discipline en gemiddelde intelligentie is niet hoog genoeg voor een volledig digitale toekomst. Ik had ook een tandartsassistente die een medisch dossier van mij via de mail in plaintext had gestuurd.

Je kunt niet alles opvangen met trainingen, omdat dit een discipline en common-sense moet zijn voor de meesten. Anders moet je alles per-geval gaan uitleggen en loop je altijd achter.

Maar ze blijven het desondanks doorduwen. Straks moet je steeds meer biometrische data gaan geven om te bewijzen dat jij het bent, omdat de regulieren methode zo makkelijk te hacken is, of al veelvuldig gelekt is, dat het niet meer genoeg is om je te legitimeren.

Vandaar ook de vingerafdrukken tegenwoordig in je ID-kaart...
Alleen hier heb je het zeker juist.
Je kunt niet alles opvangen met trainingen, omdat dit een discipline en common-sense moet zijn voor de meesten. Anders moet je alles per-geval gaan uitleggen en loop je altijd achter.

Ik merk dat heel veel mensen totaal geen inzicht hebben. Ondanks goed geleerd te zijn missen ze inzicht en common-sense. In ieder bedrijf gaat het dan fout. Bij heel veel van dit soort verzoeken moeten ze gewoon de systeembeheerder erbij betrekken. Deze pluist het uit of het betrouwbaar is en dan nog bellen we even na bij het bedrijf voor verificatie als we nog een twijfel zouden hebben.
Ja maar dan bottleneck je je complete verkeer over een systeembeheerder of meerdere. En welke systeembeheerder heeft daar zin in.
Goed om te weten dat er digibeten bij Revolut werken. Want dit is alsof je de pincode van je bankpas aan iemand geeft met een bivakmuts op.
Ja maar deze persoon met bivakmuts zei wel dat hij werkt voor de overheid.
Terwijl het kaartje van de TEMU nog aan zijn nepuniform hangt ja.
Zo werkt het helaas met social engineering. Mensen kunnen erin trappen. Zelfs als er genoeg red flags zijn.
Ja, maar jouw dataveiligheid zou niet moeten afhangen van het instinct van iemand die helemaal onderaan de totempaal staat. Ze introduceren steeds invasievere en duurdere beveiligingssystemen, maar het klerkprobleem doen ze niets aan. Vraag me af of je dit systeem wel kunt redden op deze manier, want je kunt niet alles aanleren met trainingen.
Je het liefst zou je een soort sentinel willen laten draaien op elk device van een medewerker die dit soort acties signaleert en voorkomt. Met AI is dit hopelijk geen science fiction meer, ik verwacht dit soort software wel op de markt te zien komen in de aankomende jaren.
Ze doen niet eens moeite.

Geslacht: Vrouw
Huidskleur: Lichte huidskleur
Leeftijd: 18-24 jaar
Postuur: Slank
Haar: Lang, stijl zwart haar
Kleding: Grijs vest, grijze joggingsbroek en grijze sneakers

Ze zag eruit als een snol, zelfs tekst op haar reet.
Oh die ja, had het gezien op 112 vandaag. Dat was echt heel low effort, moeilijk voor te stellen dat ze met haar telefoon in de hand, in de luie zaterdagkleren serieus genomen werd. Geeft inderdaad wel aan hoe laag de lat ligt.
Daar kwam ik een een jaar of twee geleden achter, toen ik een poging zou wagen met Skrill te gaan werken. Of ik even een duidelijke foto van mijn gezicht wou sturen. Nou ja, precies hierom dus ging en ga ik daar niet in mee. Bij geen enkele instelling zijn dit soort gegevens nog veilig tegenwoordig.
Social Engineering / Phishing. We blijven er vatbaar voor. Wij maken (goede en leuke) awareness trainingen, maar nog steeds zijn veel mensen die het onzin vinden en niet mee willen werken. Dit soort bewijzen geven aan dat het wel nodig is,

Als awareness trainingen niet werken, wat is het alternatief?

Om te kunnen reageren moet je ingelogd zijn