Revolut lovar att betala kostnaderna om någon av de 680 kunder som drabbats av dataläckan behöver byta identitetshandlingar. För svenska kunder är läget fortfarande oklart – det finns ingen offentlig uppgift om hur många, eller ens om några, av de drabbade finns i Sverige. Den som omfattas ska däremot ha fått besked direkt från banken.

680 kunder fick uppgifter utlämnade

Dataläckan hos Revolut skiljer sig från ett klassiskt dataintrång.

Angriparna tog sig enligt de uppgifter som kommit fram inte in i Revoluts banksystem. I stället hade de fått kontroll över en legitim e-postadress hos en italiensk myndighet och använde den för att skicka falska myndighetsförfrågningar till banken.

Revolut trodde att förfrågningarna var äkta och lämnade ut kundinformation.

Totalt omfattas 680 kunder. Händelsen blev därmed särskilt allvarlig eftersom uppgifterna inte stals genom ett tekniskt intrång, utan lämnades ut av banken efter förfrågningar som såg ut att komma från en riktig myndighet.

Det finns inget som tyder på att angriparna genom händelsen fick direkt tillgång till kundernas pengar eller Revoluts interna banksystem.

De här uppgifterna kan ha läckt

Vilken information som lämnades ut skiljer sig mellan de berörda kunderna. Materialet kan bland annat innehålla person- och kontaktuppgifter, identitetshandlingar och information om kundernas användning av kontot.

Bland uppgifterna som har förekommit finns:

• namn och födelsedatum
• adress, telefonnummer och e-postadress
• yrkesuppgifter
• kopior av pass eller körkort
• selfies som använts vid identitetskontroll
• kontoutdrag
• transaktions- och uttagsinformation
• uppgifter om viss kryptovalutaaktivitet.

Det finns däremot inga verifierade uppgifter om att lösenord, pinkoder eller Revoluts säkerhetskoder ingått i materialet.

Det innebär inte att risken är obetydlig. En bedragare som känner till både en persons adress, telefonnummer, identitetshandling och verkliga transaktioner kan skapa betydligt mer trovärdiga bluffmejl, sms och telefonsamtal.

Det är därför framför allt risken för identitetsbedrägerier och riktade bedrägeriförsök som berörda kunder behöver vara uppmärksamma på.

Så vet du om du är drabbad

Revolut har uppgett att de kunder vars uppgifter lämnades ut har kontaktats direkt.

Det finns ingen offentlig databas eller kontrollsida där alla Revolutkunder kan skriva in sina uppgifter och kontrollera om de finns bland de 680 drabbade.

Har du fått ett direkt besked från Revolut om incidenten ska du alltså utgå från att dina uppgifter omfattas.

Har du inte fått något meddelande men ändå vill vara säker är det klokast att kontakta Revolut genom bankens app. Gå inte via länkar i oväntade mejl eller sms som påstår sig handla om läckan.

Revolut uppmanar kunder som misstänker bedrägeri eller ovanlig aktivitet att använda den säkra supportchatten. Mer information finns på Revoluts svenska supportsida.

Finns svenska kunder bland de drabbade?

Det är fortfarande inte offentligt klarlagt.

Av de totalt 680 drabbade kunderna finns 55 i Frankrike. Uppgifter från tidigare rapportering visar att läckan omfattar kunder i ett stort antal europeiska länder.

Någon fullständig offentlig lista över de berörda länderna har däremot inte presenterats.

Det går därför inte att slå fast att svenska Revolutkunder finns bland de drabbade, men det går heller inte att dra slutsatsen att Sverige är undantaget.

När Hurbra tidigare skrev om Revoluts dataläcka fanns inte heller något bekräftat besked om svenska kunder.

För en enskild svensk kund är Revoluts direkta besked därför viktigare än de offentliga landsuppgifterna.

Revolut betalar om id-handlingar måste bytas

Det nya beskedet från Revolut den 7 oktober är att banken ska stå för kostnaderna om någon av de drabbade behöver byta identitetshandlingar på grund av läckan.

Revoluts chef för Västeuropa, Béatrice Cossa-Dumurgier, säger att banken hjälper de 680 kunderna och täcker kostnader för nödvändiga dokumentbyten.

Det innebär dock inte att alla berörda automatiskt behöver skaffa nytt pass eller körkort.

Revolut har heller inte offentligt specificerat samtliga villkor för ersättningen.

Beskedet bör inte heller tolkas som ett generellt löfte om att Revolut automatiskt ersätter alla ekonomiska förluster som kan uppstå efter framtida bedrägerier.

Om någon faktiskt lyckas göra obehöriga transaktioner eller ta krediter i kundens namn blir det en separat fråga.

Byt inte pass automatiskt

Att en pass- eller körkortskopia har läckt kan vara allvarligt, men det betyder inte att varje berörd kund omedelbart måste spärra alla sina handlingar.

Första steget bör vara att ta reda på exakt vilka personuppgifter Revolut har bekräftat att just du fått exponerade.

Om Revolut bedömer att ett dokument bör ersättas är det viktigt att spara beskedet och kvitton på de kostnader som uppstår.

Samma sak gäller om du upptäcker tecken på att uppgifterna faktiskt har börjat missbrukas.

Det här bör du göra om du är drabbad

Den som fått besked från Revolut bör framför allt skärpa bevakningen av sådant som kan tyda på identitetsbedrägeri.

Kontrollera transaktionerna på dina konton och reagera på sådant du inte känner igen. Var också extra försiktig med personer som ringer och säger sig representera Revolut, en myndighet eller ett annat företag.

Att den som kontaktar dig känner till ditt namn, din adress eller en verklig transaktion betyder inte att personen är legitim. Just sådan information kan ha funnits i materialet som lämnades ut.

Lämna aldrig ut säkerhetskoder eller andra uppgifter efter en oväntad kontakt.

Om du upptäcker ett faktiskt identitetsbedrägeri bör du snabbt kontakta berörda banker och företag och göra en polisanmälan. Det är också viktigt att reagera på kreditupplysningar eller krediter som du inte känner igen.

Den som vill minska risken för att någon använder personuppgifterna för att ändra folkbokföringsadress kan även använda Skatteverkets spärr mot obehörig adressändring.

Hurbra har en separat guide om vad du bör göra direkt om du blivit ID-kapad.

Pengarna på Revolutkontot har inte läckt

För Revolutkunder är det viktigt att skilja på två olika risker.

Det finns inget som visar att angriparna genom den aktuella incidenten fick direkt tillgång till kundernas konton eller pengar. Händelsen innebär alltså inte i sig att saldot på ett Revolutkonto har stulits.

Problemet är i stället informationen som hamnade utanför banken.

Ju mer en bedragare vet om en person, desto lättare blir det att utforma ett trovärdigt försök att komma åt ytterligare uppgifter eller pengar.

Det är därför den praktiska risken fortsätter även efter själva dataläckan. Ett samtal eller sms som verkar ovanligt välunderrättat kan vara just den typ av följdangrepp som berörda kunder behöver vara särskilt vaksamma på.