Den 29 juli 2026 d\u00f6k en annons upp p\u00e5 ett cyberkriminellt forum d\u00e4r en s\u00e4ljare erbj\u00f6d en databas med p\u00e5st\u00e5dda 75 miljoner Revolut-poster f\u00f6r 500 dollar. Revolut har granskat det utl\u00e4mnade stickprovet och s\u00e4ger att man inte ser n\u00e5gra indikationer p\u00e5 ett intr\u00e5ng. Ingen av de konto- och kortidentifikatorer som fanns i provet motsvarade enligt banken en giltig eller verklig Revolut-identifikator. S\u00e4kerhetsforskare som f\u00f6rs\u00f6kt verifiera antalet poster har inte lyckats g\u00f6ra det och flera oberoende analyser, bland annat en genomg\u00e5ng fr\u00e5n heise online, pekar mot att materialet \u00e4r en sammanst\u00e4llning av \u00e4ldre l\u00e4ckor snarare \u00e4n ett f\u00e4rskt intr\u00e5ng.<\/p>\n
Ett dataset med 75 miljoner poster fr\u00e5n en europeisk bank skulle p\u00e5 en fungerande kriminell marknad kosta betydligt mer \u00e4n 500 dollar. Den typen av underpriss\u00e4ttning brukar betyda en av tv\u00e5 saker: antingen \u00e4r s\u00e4ljaren en bedragare som tar betalt f\u00f6r luft eller s\u00e5 \u00e4r inneh\u00e5llet redan cirkulerande material som packats om under ett nytt och mer s\u00e4ljande varum\u00e4rke.<\/p>\n
S\u00e4ljaren l\u00e4mnade ut 100 poster som exempel och redovisade varken exakt postantal eller tekniska detaljer om hur datan ska ha h\u00e4mtats. Tidsst\u00e4mplarna i posterna pekar mot omkring maj 2025, allts\u00e5 \u00f6ver ett \u00e5r f\u00f6re annonseringen. Det talar emot bilden av en p\u00e5g\u00e5ende attack mot bankens system 2026, vilket ocks\u00e5 cybersecuritynews.com<\/a> noterat i sin genomg\u00e5ng av \u00e4rendet.<\/p>\n Enligt annonsen ska varje post inneh\u00e5lla en blandning av identitetsuppgifter, kortmetadata och teknisk information om enheten kontot registrerades fr\u00e5n. Det handlar om e-postadress, fullst\u00e4ndigt namn, telefonnummer, fysisk adress och bos\u00e4ttningsland, partiella kortuppgifter som de fyra sista siffrorna, korttyp, utg\u00e5ngsdatum och kortstatus (aktiv, blockerad eller fryst), registrerings-IP-adress och interna kontoidentifikatorer, enhetsmodell och operativsystem f\u00f6r den telefon eller dator som anv\u00e4nts, l\u00f6senordshashar skapade med bcrypt eller argon2id samt tidsst\u00e4mplar f\u00f6r n\u00e4r l\u00f6senordet senast byttes.<\/p>\n Notera vad som inte p\u00e5st\u00e5s finnas d\u00e4r: fullst\u00e4ndiga kortnummer, CVV-koder eller BankID-uppgifter. Ett kort g\u00e5r allts\u00e5 inte att belasta med den h\u00e4r informationen. L\u00f6senordshashar av typen bcrypt och argon2id \u00e4r dessutom byggda f\u00f6r att vara l\u00e5ngsamma att kn\u00e4cka, vilket g\u00f6r masskn\u00e4ckning kostsam \u00e4ven f\u00f6r den som sitter p\u00e5 hela filen.<\/p>\n Uppgifter som de fyra sista kortsiffrorna, korttyp och kontostatus \u00e4r guld f\u00f6r social engineering. En bedragare som ringer eller mejlar och s\u00e4ger ”vi ser att ditt Mastercard som slutar p\u00e5 4471 har blivit fryst” l\u00e5ter trov\u00e4rdig p\u00e5 ett s\u00e4tt som generiska smishing-kampanjer aldrig g\u00f6r.<\/p>\n Kombinationen av namn, telefonnummer, adress och kortmetadata g\u00f6r det ocks\u00e5 m\u00f6jligt att sortera m\u00e5lgrupper. Den som vill rikta in sig p\u00e5 personer med aktiva kort i ett specifikt land kan filtrera fram exakt den listan.<\/p>\n Eftersom ingen utomst\u00e5ende kan avg\u00f6ra autenticiteten \u00e4r den rimliga h\u00e5llningen att agera som om uppgifterna cirkulerar men utan panik.<\/p>\n Punkt fyra \u00e4r den viktigaste. Det finns inget scenario d\u00e4r en bank ringer och ber dig l\u00e4sa upp en eng\u00e5ngskod eller flytta pengar till ett ”s\u00e4kert konto”.<\/p>\n Revolut driver verksamhet i Sverige med litauisk banklicens och passporteringsr\u00e4ttigheter inom EU. Det inneb\u00e4r att svensk konsumentskyddsniv\u00e5 f\u00f6r obeh\u00f6riga transaktioner g\u00e4ller: vid kortbedr\u00e4geri du inte medverkat till \u00e4r kundens ansvar begr\u00e4nsat och betaltj\u00e4nstleverant\u00f6ren m\u00e5ste \u00e5terst\u00e4lla beloppet om obeh\u00f6rig anv\u00e4ndning konstateras. Skyddet urholkas d\u00e4remot om du sj\u00e4lv l\u00e4mnat ut koder eller godk\u00e4nt en transaktion i appen, vilket \u00e4r precis vad phishingf\u00f6rs\u00f6k efter en l\u00e4cka syftar till att f\u00e5 dig att g\u00f6ra.<\/p>\n Kunder som anser att en betaltj\u00e4nstleverant\u00f6r hanterat en incident felaktigt kan v\u00e4nda sig till Finansinspektionen<\/a>, som ut\u00f6var tillsyn \u00f6ver betaltj\u00e4nstmarknaden i Sverige. CERT-SE<\/a> publicerar l\u00f6pande information om aktuella IT-s\u00e4kerhetshot mot svenska organisationer och privatpersoner.<\/p>\n Ett mer praktiskt skydd ligger i vilket kort du anv\u00e4nder till vad. Debetkort tar pengarna direkt fr\u00e5n kontot, medan ett kreditkort l\u00e4gger en bank mellan bedragaren och ditt sparande. Skillnaden syns tydligt i genomg\u00e5ngen av f\u00f6rdelar och nackdelar med kreditkort<\/a> och om du \u00f6verv\u00e4ger att flytta vardagsk\u00f6pen till kredit hj\u00e4lper \u00f6versikten \u00f6ver hur ett kreditkort faktiskt fungerar<\/a>.<\/p>\n Nej. Banken uppger att den inte ser n\u00e5gra indikationer p\u00e5 intr\u00e5ng och att identifikatorerna i stickprovet inte matchade verkliga Revolut-uppgifter. Verifieringen av s\u00e4ljarens \u00f6vriga p\u00e5st\u00e5enden p\u00e5gick n\u00e4r uppgifterna blev k\u00e4nda.<\/p>\n Nej, inte direkt. De fyra sista siffrorna, korttypen och utg\u00e5ngsdatumet r\u00e4cker inte f\u00f6r att genomf\u00f6ra en betalning. Det som saknas \u00e4r fullst\u00e4ndigt kortnummer och CVV. Risken ligger i att uppgifterna g\u00f6r bedr\u00e4gerif\u00f6rs\u00f6k trov\u00e4rdiga, till exempel n\u00e4r n\u00e5gon utger sig f\u00f6r att ringa fr\u00e5n bankens bedr\u00e4geriavdelning och redan k\u00e4nner till dina kortdetaljer.<\/p>\n En aggregerad l\u00e4cka \u00e4r en fil som satts samman av uppgifter fr\u00e5n flera tidigare intr\u00e5ng hos olika tj\u00e4nster, ofta med en k\u00e4nd varum\u00e4rkesetikett f\u00f6r att verka mer v\u00e4rdefull. Det spelar roll eftersom \u00e5tg\u00e4rden ser annorlunda ut: har uppgifterna cirkulerat i \u00e5r r\u00e4cker det s\u00e4llan att byta ett enda l\u00f6senord, utan alla konton d\u00e4r samma l\u00f6senord \u00e5teranv\u00e4nts beh\u00f6ver ses \u00f6ver.<\/p>\n Det finns inget underlag som motiverar det. Byt l\u00f6senord, aktivera tv\u00e5faktorsautentisering och granska transaktionerna. Om du \u00e4nd\u00e5 vill minska exponeringen \u00e4r ett rimligare steg att sluta h\u00e5lla st\u00f6rre belopp p\u00e5 kontot \u00e4n vad du beh\u00f6ver f\u00f6r l\u00f6pande utgifter.<\/p>\nS\u00e4ljaren beskrev inneh\u00e5llet som en blandning av identitet, kort och enhetsdata<\/h2>\n
Den riktiga risken \u00e4r riktade phishingmejl, inte pl\u00e5nboken<\/h2>\n
Fem \u00e5tg\u00e4rder som g\u00e4ller oavsett om l\u00e4ckan \u00e4r \u00e4kta<\/h2>\n
\n
Svenska kunder skyddas av samma regler som vid vanligt kortbedr\u00e4geri<\/h2>\n
FAQ<\/h2>\n
Har Revolut bekr\u00e4ftat ett dataintr\u00e5ng?<\/h3>\n
Kan mitt kort anv\u00e4ndas med de uppgifter som p\u00e5st\u00e5s ha l\u00e4ckt?<\/h3>\n
Vad \u00e4r en aggregerad l\u00e4cka och varf\u00f6r spelar det roll?<\/h3>\n
B\u00f6r jag st\u00e4nga mitt Revolut-konto?<\/h3>\n