--- title: "Revolut-lek: echt domein bewijst niets" date: 2026-09-12 author: "Sander Vermeer" featured_image: "https://phishingtrainer.nl/wp-content/uploads/2026/09/revolut-nep-overheidsverzoek-terugbellen.jpg" categories: - name: "Uncategorized" url: "/category/uncategorized.md" --- # Revolut-lek: echt domein bewijst niets **Update 15 september 2026.** Het “beperkte” aantal heeft nu een getal, en er zitten Nederlanders bij. Revolut meldde maandagavond aan [BNR](https://www.bnr.nl/nieuws/tech-innovatie/10610325/revolut-680-klanten-getroffen-door-fraudepoging-waaronder-36-nederlanders) dat er “ongeveer 680 getroffen klanten zijn geïdentificeerd, onder wie 36 in Nederland”. Eerder die dag had [BNR](https://www.bnr.nl/nieuws/tech-innovatie/10610291/revolut-deelde-waarschijnlijk-ook-gegevens-van-nederlandse-klanten-met-cybercriminelen) in data die de criminelen al online zetten Nederlandse paspoortkopieën gezien, waaronder die van zangeres Yade Lauren. Toen wilde Revolut nog geen details geven. De hackers dreigen de gegevens openbaar te maken als Revolut geen losgeld betaalt, en de Britse privacytoezichthouder ICO onderzoekt de zaak, meldt de Financial Times via [Investing.com](https://nl.investing.com/news/stock-market-news/datalek-bij-revolut-treft-bijna-700-klanten-meldt-ft-914403). De groep die claimt achter de aanval te zitten, deelde met BNR screenshots van mailverkeer met de Italiaanse tak van Revolut. Daarin zou de bank de gegevens in Excel en pdf hebben aangeleverd. De overheidsadressen kregen ze naar eigen zeggen van ambtenaren die hun mail vrijwillig deelden. Revolut heeft de screenshots nog niet bevestigd, dus dat blijft een claim. Voor klanten verandert er wel iets: een deel van de data staat al online. Een mail of telefoontje met jouw echte adres of transacties erin is geen bewijs van echtheid meer. Vrijdagmiddag, kwart over vier. In de gedeelde mailbox van de afdeling die gegevensverzoeken afhandelt, staat een bericht van een overheidsdomein. Spoed, een lopend onderzoek, of je vandaag het dossier van een paar klanten wilt sturen. Het mailprogramma geeft geen enkele waarschuwing. De afzender klopt, de handtekening klopt. Je drukt op verzenden. Zo’n verzoek kreeg Revolut, en het ging erdoor. De Britse fintech [bevestigde zaterdag aan TechCrunch](https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/) dat het klantgegevens heeft afgegeven aan een onbevoegde partij. Die stuurde “frauduleuze verzoeken om informatie” vanaf een echt e-maildomein van een overheidsinstantie. Volgens de melding die getroffen klanten kregen, ging het om geboortedatum, post- en e-mailadres, telefoonnummer en kopieën van paspoort of rijbewijs. Ook verificatieselfies, rekeningafschriften en transactiegeschiedenis kunnen zijn meegegaan. Revolut sprak zaterdag van een “beperkt” aantal klanten en noemde zelf geen getal. Dat getal kwam later, zie de update hierboven. Welke instantie het was, zegt het bedrijf ook niet. Een woordvoerder zei tegen [BeInCrypto](https://nl.beincrypto.com/revolut-datalek-valse-overheidsaanvraag/) dat pincodes, inloggegevens en biometrische gegevens niet zijn gelekt en dat er geen geld is verplaatst. Revolut heeft het afzendadres geblokkeerd en de instantie, de politie en de toezichthouders ingelicht. De cryptospeurder ZachXBT bracht de zaak vrijdagavond naar buiten en schreef dat het vooral om vermogende klanten leek te gaan. Op X meldde DeFi-ondernemer Marc Zeller dat hij wakker werd met al zijn gegevens gelekt door Revolut. ## Een groen DKIM-vinkje is geen legitimatiebewijs Revolut noemt dit een “geavanceerde externe imitatie-aanval”. Dat vinden wij te mild. Bij Revolut is niets gekraakt. Iemand had een werkend overheidsadres, en daarmee stond elke technische controle op groen. SPF, DKIM en DMARC bewijzen dat een mail echt van de server van dat domein komt. Ze bewijzen niet dat de persoon achter het toetsenbord bevoegd is om een klantdossier op te vragen. Dat verschil is niet nieuw. In 2022 beschreef securityjournalist Brian Krebs al [hoe criminelen gehackte politiemailboxen gebruiken voor nep-noodverzoeken](https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/) aan grote techbedrijven. Een noodverzoek draait op vertrouwen en haast, en precies die twee dingen maken het aantrekkelijk om te vervalsen. Het gat staat dus al jaren open. Het echte probleem zit in het proces. De gegevens gingen de deur uit voordat iemand via een ander kanaal had nagevraagd of het verzoek echt was. Dat is geen techniekfout. Dat is een stap die in de werkinstructie hoort, en die je kunt oefenen. ## Terugbellen kost tijd, en soms is die tijd er niet “Bel altijd eerst terug” klinkt makkelijker dan het is. Echte noodverzoeken bestaan. Bij een vermiste persoon of een acute dreiging telt elk uur, en een medewerker die bij elke politiemail een dag gaat verifiëren, zit ook fout. Bovendien weten we nog niet wat hier precies gebeurde. Revolut noemt de instantie niet, dus is niet te zeggen of de overheidsmailbox gehackt was of dat iemand met legitieme toegang zelf op verzenden drukte. In dat tweede geval had ook een telefoontje naar de afdeling misschien niets opgeleverd. Toch blijft de kern overeind. Terugbellen via een nummer dat je zelf opzoekt, kost bij een echt verzoek een kwartier. Een paspoortkopie die eenmaal verstuurd is, haal je nooit meer terug. Die afweging maak je vooraf, niet om kwart over vier op vrijdag. ## Wie beantwoordt bij jullie een verzoek van de politie? Stel die vraag aan je team voordat het volgende verzoek binnenkomt. Wie beantwoordt bij ons een gegevensverzoek van politie, Belastingdienst of een andere overheid? En wat doet die persoon als de afzender klopt maar de vraag haast heeft? Zet daarna de terugbelnummers van de instanties waar jullie mee te maken hebben op papier, uit een eigen bron zoals hun officiële website en nooit uit de mail zelf. Hetzelfde principe gebruik je al bij [wachtwoordresets via de supportdesk](https://phishingtrainer.nl/supportdesk-wachtwoordreset-fraude/) en bij [CEO-fraude op de financiële afdeling](https://phishingtrainer.nl/ceo-fraude-oefenen-finance/). Het tweede kanaal kies jij, nooit de afzender. Ben je zelf Revolut-klant en kreeg je de melding? Reken dan op phishing die jouw echte transacties noemt. Een mail of telefoontje dat een echte betaling van jou aanhaalt, is vanaf nu juist een reden om op te hangen en zelf de app te openen. Sites die beloven te controleren of je getroffen bent, laat je links liggen. ## Welke overheidsinstantie werd misbruikt? Die vraag laat Revolut nog steeds open, met een verwijzing naar het politieonderzoek. Pas als die naam bekend is, wordt zichtbaar of het om één gekaapte mailbox gaat of om een zwakte die meer banken raakt. Revolut heeft volgens TechCrunch ruim 80 miljoen klanten wereldwijd. Dan hoort er ook een antwoord bij op de vraag hoeveel verzoeken er zonder terugbelstap doorheen gingen.