冒充政府机构的虚假邮箱导致 Revolut 数据泄露，680 名客户信息曝光

Revolut 在一名未经授权的一方通过从合法政府邮箱域名发送的欺诈性信息请求获取个人和财务数据后，联系了 680 名客户，《金融时报》报道。Revolut 员工在该请求通过技术身份验证检查后，将其作为合法请求处理。英国信息专员办公室（ICO）已对该事件展开调查，Revolut 已向该监管机构报告此事。

政府邮箱绕过了 Revolut 的身份验证控制

此次攻击不涉及系统入侵。一名未经授权的一方使用真实政府机构的邮箱账户及有效的域名身份验证凭据，提交了一份看似标准的合规请求，要求获取客户记录，IBTimes UK 报道。

这些邮件通过了技术检查，Revolut 员工将其作为合法邮件处理。一份经由一个目前已暂停的 Telegram 账户传播的材料显示，这封邮件源自意大利政府域名，但该细节仍未得到证实。

Revolut 表示，其系统和客户资金未受影响，并在发现这起诈骗后屏蔽了该邮箱地址。根据该公司公开声明，Revolut 已通知相关政府机构、执法部门及相关监管机构。

暴露的数据包括护照和比特币交易历史

据《金融时报》和 Help Net Security 报道，被泄露的记录包括姓名、出生日期、邮政地址和邮箱地址、电话号码、护照和驾照副本、用于账户验证的自拍照、IBAN、完整账户对账单和出金记录，以及完整的比特币交易历史。

私钥、密码和完整的支付卡号不在暴露数据之列。受影响客户面临的问题在于，密码可以更改，卡片可以注销，但护照扫描件或验证自拍照无法像凭证一样进行“轮换”。

ESET Ireland 警告称，犯罪分子可能利用被盗的身份证件冒充 Revolut 员工或其他实体、开设欺诈账户，或实施进一步的身份诈骗。这家网络安全公司建议受影响客户向爱尔兰中央信用登记处查询自己的记录，并考虑更换身份证件，《TheJournal.ie》报道。

ICO 调查 Revolut 的数据保护措施

根据其发布的指南，ICO 通常会在决定是否采取监管行动前，评估暴露数据的类型、受影响人数、潜在危害以及现有的保护措施。

受影响客户中约有 12 人居住在爱尔兰，这引发了爱尔兰数据保护委员会展开平行调查的可能性。680 名客户中包括 Mt. Gox 前首席执行官 Mark Karpeles，Revolut 于 9 月 12 日通知了他。

Karpeles 告诉《金融时报》，无论邮件是否来自经过验证的政府地址，他都认为 Revolut 不应分享这些信息。

攻击者威胁发布数据，除非支付赎金

自称对此次攻击负责的个人威胁称，除非 Revolut 支付赎金，否则他们将发布被盗数据。Revolut 尚未确认是否进行过赎金谈判，勒索说法仍未得到证实。

《TheJournal.ie》引述的网络安全专家 George Foley 警告受影响客户称：“Revolut 或任何其他银行或政府机构都不会要求客户转移资金”，并敦促客户警惕后续诈骗消息。

680 这一数字可能并非最终数字；ICO 的调查以及立陶宛银行（Revolut 的银行牌照监管机构）采取的任何监管行动，都可能影响监管后果。

常见问题

Revolut 数据泄露暴露了哪些数据？

此次数据泄露暴露了姓名、出生日期、邮政地址和邮箱地址、电话号码、护照和驾照副本、用于账户验证的自拍照、IBAN、完整账户对账单和出金记录，以及完整的比特币交易历史。私钥、密码和完整的支付卡号没有被暴露。

未经授权的一方是如何获取 Revolut 客户数据的？

一名未经授权的一方使用真实政府机构的邮箱账户及有效的域名身份验证凭据，提交了一份针对客户记录的欺诈性合规请求。这些邮件通过了技术检查，Revolut 员工将其作为合法邮件处理。