Revolut pressas av ett utpressningskrav efter den uppmärksammade dataläckan. Hackare kräver 3 miljoner dollar och hotar att sälja känsliga kunduppgifter till andra kriminella grupper om banken inte betalar. För Europas fintechjätte kan den största kostnaden bli något helt annat än själva lösensumman: skadat förtroende.

Revolut har på kort tid vuxit till en av Europas största fintechaktörer, med över 80 miljoner privatkunder globalt. Nu ställs bolaget inför en säkerhetskris samtidigt som det försöker etablera sig som en fullskalig global bank.

En grupp som kallar sig iamnotavillain kräver enligt Financial Times 3 miljoner dollar av Revolut. Betalningen ska ske i kryptovalutan Monero och gruppen har hotat med att sälja de stulna kunduppgifterna om Revolut inte betalar inom den tidsfrist på 24 timmar som angavs i ultimatumet.

Revolut hade ännu inte kommenterat själva lösensumman när Reuters rapporterade om kravet.

Revolut lurades att lämna ut uppgifterna

Händelsen skiljer sig från ett traditionellt dataintrång där angripare bryter sig in direkt i ett företags servrar.

Revolut bekräftade den 12 september att känsliga kunduppgifter hade lämnats ut till en obehörig tredje part efter falska informationsförfrågningar.

Förfrågningarna kom från en legitim myndighetsdomän och såg därför ut att komma från en riktig myndighet. Revolut accepterade dem och lämnade ut kundinformation.

Bolaget har betonat att angriparna enligt den egna utredningen inte tog sig in i Revoluts egna system och att kundernas pengar inte påverkades.

Det är en viktig skillnad. Händelsen visar samtidigt hur även en bank med avancerade tekniska säkerhetssystem kan utsättas när angriparen i stället lyckas lura de processer och människor som hanterar legitima myndighetsförfrågningar.

Omkring 680 kunder kan vara drabbade

Financial Times har rapporterat att omkring 680 kunder har kontaktats med anledning av läckan. Revolut har själv beskrivit antalet drabbade som mycket begränsat.

Bland information som enligt rapporteringen kan ha lämnats ut finns personuppgifter och handlingar som normalt används vid identifiering och kundkontroller.

Uppgifter om bland annat namn, födelsedatum, adresser, identitetshandlingar, kontoutdrag och transaktionshistorik kan ha exponerats.

Financial Times har även rapporterat att angriparna ska ha varit särskilt intresserade av kunder med stora kryptotillgångar. Den uppgiften kommer från angriparna och är inte självständigt bekräftad av Revolut.

Det finns heller inget bekräftat besked om svenska kunder finns bland de drabbade.

Tre miljoner dollar är inte Revoluts stora ekonomiska problem

Lösensumman på 3 miljoner dollar låter dramatisk, men sett till Revoluts storlek är beloppet begränsat.

Bolaget redovisade intäkter på omkring 6 miljarder dollar och en vinst före skatt på cirka 2,3 miljarder dollar för 2025.

Det verkliga ekonomiska hotet ligger därför snarare i vad som följer efter dataläckan.

Revolut kan behöva bära kostnader för utredningar, juridiskt arbete, kundsupport och skärpta säkerhetsrutiner. Myndigheter kan dessutom komma att granska hur företaget kontrollerade informationsförfrågningarna innan kunduppgifter lämnades ut.

Den brittiska dataskyddsmyndigheten ICO har enligt rapporteringen börjat titta på händelsen.

Det betyder inte att Revolut automatiskt kommer att få någon stor sanktionsavgift. Men både brittiska och europeiska dataskyddsregler ger myndigheterna möjlighet att besluta om mycket höga böter vid allvarliga överträdelser.

Förtroendet kan bli betydligt dyrare

Den känsligaste frågan för Revolut är sannolikt förtroendet.

Bolaget började som en fintechutmanare men försöker nu bli en bank som kunder använder för betydligt mer än resor, valutaväxling och kortköp.

Revolut har expanderat kraftigt med banklicenser och nya marknader. Läs mer i vår genomgång av vad Revolut är och hur banken fungerar.

Samtidigt arbetar Revolut för att stärka sin ställning i USA. Bolaget har fått ett första klartecken i processen mot en amerikansk banklicens, något vi tidigare skrivit om i Revoluts satsning på en amerikansk bank.

Just därför kommer dataläckan vid en känslig tidpunkt.

Samma dag som det nya utpressningskravet blev känt presenterade Revolut planer på att investera mer än 150 miljoner schweizerfranc i sin satsning på Schweiz. I samband med expansionen konstaterade bolagets kommersiella chef att förtroende fortfarande är en central faktor när Revolut försöker konkurrera med traditionella banker.

Det gör kontrasten tydlig.

Revolut vill övertyga kunder om att bolaget är ett långsiktigt alternativ till de stora bankerna, samtidigt som företaget måste förklara hur bedragare kunde få känsliga kunduppgifter genom falska myndighetsförfrågningar.

Stulna identitetshandlingar kan skapa långvariga problem

För de berörda kunderna kan riskerna fortsätta långt efter att hackarnas ultimatum löpt ut.

Om passkopior, adresser, kontoinformation och transaktionshistorik hamnar hos andra kriminella kan materialet användas för betydligt mer riktade bedrägeriförsök än vanliga massutskick.

En bedragare som redan känner till offrets bank, adress, transaktioner och delar av identiteten har betydligt bättre förutsättningar att framstå som trovärdig.

Revolut har därför inte bara ett problem med den aktuella utpressningen. Bolaget måste också hantera risken att informationen används senare.

Fortfarande oklart om Revolut betalar

Det finns ännu inget besked om Revolut tänker betala de 3 miljoner dollar som angriparna kräver.

Det är inte heller klarlagt om gruppen faktiskt kommer att sälja materialet när tidsfristen löper ut eller om uppgifterna redan har spridits vidare.

Revolut har hittills betonat att den direkta tekniska infrastrukturen och kundernas pengar inte komprometterades.

Men för ett företag som vill bli en av världens stora banker räcker det inte att pengarna är säkra. Kunderna måste också kunna lita på att banken skyddar deras identitet och deras mest känsliga ekonomiska information.

Det är där den verkliga kostnaden för Revolut kan visa sig.