Den 29 juli 2026 dök en annons upp på ett cyberkriminellt forum där en säljare erbjöd en databas med påstådda 75 miljoner Revolut-poster för 500 dollar. Revolut har granskat det utlämnade stickprovet och säger att man inte ser några indikationer på ett intrång. Ingen av de konto- och kortidentifikatorer som fanns i provet motsvarade enligt banken en giltig eller verklig Revolut-identifikator. Säkerhetsforskare som försökt verifiera antalet poster har inte lyckats göra det och flera oberoende analyser, bland annat en genomgång från heise online, pekar mot att materialet är en sammanställning av äldre läckor snarare än ett färskt intrång.
Prislappen på 500 dollar är det som väcker mest tvivel
Ett dataset med 75 miljoner poster från en europeisk bank skulle på en fungerande kriminell marknad kosta betydligt mer än 500 dollar. Den typen av underprissättning brukar betyda en av två saker: antingen är säljaren en bedragare som tar betalt för luft eller så är innehållet redan cirkulerande material som packats om under ett nytt och mer säljande varumärke.
Säljaren lämnade ut 100 poster som exempel och redovisade varken exakt postantal eller tekniska detaljer om hur datan ska ha hämtats. Tidsstämplarna i posterna pekar mot omkring maj 2025, alltså över ett år före annonseringen. Det talar emot bilden av en pågående attack mot bankens system 2026, vilket också cybersecuritynews.com noterat i sin genomgång av ärendet.
Säljaren beskrev innehållet som en blandning av identitet, kort och enhetsdata
Enligt annonsen ska varje post innehålla en blandning av identitetsuppgifter, kortmetadata och teknisk information om enheten kontot registrerades från. Det handlar om e-postadress, fullständigt namn, telefonnummer, fysisk adress och bosättningsland, partiella kortuppgifter som de fyra sista siffrorna, korttyp, utgångsdatum och kortstatus (aktiv, blockerad eller fryst), registrerings-IP-adress och interna kontoidentifikatorer, enhetsmodell och operativsystem för den telefon eller dator som använts, lösenordshashar skapade med bcrypt eller argon2id samt tidsstämplar för när lösenordet senast byttes.
Notera vad som inte påstås finnas där: fullständiga kortnummer, CVV-koder eller BankID-uppgifter. Ett kort går alltså inte att belasta med den här informationen. Lösenordshashar av typen bcrypt och argon2id är dessutom byggda för att vara långsamma att knäcka, vilket gör massknäckning kostsam även för den som sitter på hela filen.
Den riktiga risken är riktade phishingmejl, inte plånboken
Uppgifter som de fyra sista kortsiffrorna, korttyp och kontostatus är guld för social engineering. En bedragare som ringer eller mejlar och säger ”vi ser att ditt Mastercard som slutar på 4471 har blivit fryst” låter trovärdig på ett sätt som generiska smishing-kampanjer aldrig gör.
Kombinationen av namn, telefonnummer, adress och kortmetadata gör det också möjligt att sortera målgrupper. Den som vill rikta in sig på personer med aktiva kort i ett specifikt land kan filtrera fram exakt den listan.
Fem åtgärder som gäller oavsett om läckan är äkta
Eftersom ingen utomstående kan avgöra autenticiteten är den rimliga hållningen att agera som om uppgifterna cirkulerar men utan panik.
- Byt lösenord till kontot och använd ett unikt lösenord som inte återanvänds någon annanstans. Lösenordshashar blir värdelösa om lösenordet redan är utbytt.
- Kontrollera att tvåfaktorsautentisering är aktiverad, helst via autentiseringsapp snarare än SMS.
- Gå igenom transaktionshistoriken för de senaste månaderna och anmäl varje post du inte känner igen till kortutgivaren direkt.
- Behandla all inkommande kontakt som påstår sig komma från banken som misstänkt. Ring upp via numret på kortets baksida i stället för att svara på mejlet eller SMS:et.
- Använd [virtuella kortnummer](https://skaffakreditkort.se/virtuella-kreditkort/) för prenumerationer och nya webbutiker, så att ett komprometterat nummer kan spärras utan att huvudkortet påverkas.
Punkt fyra är den viktigaste. Det finns inget scenario där en bank ringer och ber dig läsa upp en engångskod eller flytta pengar till ett ”säkert konto”.
Svenska kunder skyddas av samma regler som vid vanligt kortbedrägeri
Revolut driver verksamhet i Sverige med litauisk banklicens och passporteringsrättigheter inom EU. Det innebär att svensk konsumentskyddsnivå för obehöriga transaktioner gäller: vid kortbedrägeri du inte medverkat till är kundens ansvar begränsat och betaltjänstleverantören måste återställa beloppet om obehörig användning konstateras. Skyddet urholkas däremot om du själv lämnat ut koder eller godkänt en transaktion i appen, vilket är precis vad phishingförsök efter en läcka syftar till att få dig att göra.
Kunder som anser att en betaltjänstleverantör hanterat en incident felaktigt kan vända sig till Finansinspektionen, som utövar tillsyn över betaltjänstmarknaden i Sverige. CERT-SE publicerar löpande information om aktuella IT-säkerhetshot mot svenska organisationer och privatpersoner.
Ett mer praktiskt skydd ligger i vilket kort du använder till vad. Debetkort tar pengarna direkt från kontot, medan ett kreditkort lägger en bank mellan bedragaren och ditt sparande. Skillnaden syns tydligt i genomgången av fördelar och nackdelar med kreditkort och om du överväger att flytta vardagsköpen till kredit hjälper översikten över hur ett kreditkort faktiskt fungerar.
FAQ
Har Revolut bekräftat ett dataintrång?
Nej. Banken uppger att den inte ser några indikationer på intrång och att identifikatorerna i stickprovet inte matchade verkliga Revolut-uppgifter. Verifieringen av säljarens övriga påståenden pågick när uppgifterna blev kända.
Kan mitt kort användas med de uppgifter som påstås ha läckt?
Nej, inte direkt. De fyra sista siffrorna, korttypen och utgångsdatumet räcker inte för att genomföra en betalning. Det som saknas är fullständigt kortnummer och CVV. Risken ligger i att uppgifterna gör bedrägeriförsök trovärdiga, till exempel när någon utger sig för att ringa från bankens bedrägeriavdelning och redan känner till dina kortdetaljer.
Vad är en aggregerad läcka och varför spelar det roll?
En aggregerad läcka är en fil som satts samman av uppgifter från flera tidigare intrång hos olika tjänster, ofta med en känd varumärkesetikett för att verka mer värdefull. Det spelar roll eftersom åtgärden ser annorlunda ut: har uppgifterna cirkulerat i år räcker det sällan att byta ett enda lösenord, utan alla konton där samma lösenord återanvänts behöver ses över.
Bör jag stänga mitt Revolut-konto?
Det finns inget underlag som motiverar det. Byt lösenord, aktivera tvåfaktorsautentisering och granska transaktionerna. Om du ändå vill minska exponeringen är ett rimligare steg att sluta hålla större belopp på kontot än vad du behöver för löpande utgifter.
