Revolut员工遭冒充官员骗局致近700人数据外泄

英国《金融时报》报道，数字银行Revolut在一起社会工程攻击事件中，将近700名客户的敏感数据交给了冒充政府官员的网络犯罪分子，涉及护照信息、银行账号和家庭住址。

据知情人士透露，Revolut已经联系了它认为受影响的680名客户，逐一告知数据外泄情况。整起事件的触发点是攻击者获取了一个真实政府机构的邮箱账号，并用这个真实邮箱向Revolut发送了看似合法的官方数据调取请求。

Revolut内部在核实请求来源邮箱确为政府域名后予以配合，交出的内容不止基础身份信息：还包括客户住址、用于身份核验的验证照片、身份证件扫描件，以及部分客户的比特币交易活动记录——这意味着受害者的加密资产持仓和交易行为也被暴露给了攻击者。

拿到数据后，攻击者转向勒索：以公开泄露全部数据为要挟，向Revolut或受影响客户索要赎金，事件性质从单纯数据泄露升级为勒索案件。

英国信息专员办公室（ICO）已确认介入调查此事，这意味着该事件进入英国数据保护监管的正式审查程序，Revolut需要面对监管问询而非仅靠内部危机公关处理。受影响客户中包括Mt Gox前首席执行官Mark Karpelès——这位曾经历过历史上最大比特币交易所被盗案的人物，如今又出现在另一起涉及加密数据的泄露事件受害者名单中。

从机制上看，这起事件里没有传统意义上的买卖双方，但存在明确的施压方与受损方：攻击者是索取方，通过勒索威胁将窃取的数据变现，客户的护照、住址和比特币活动信息若被公开或转卖，将直接被用于身份盗用或精准诈骗的黑产链条；Revolut是承压方，一边要应对ICO的正式调查（可能面临处罚），一边要安抚680名被直接点名通知的客户；而Revolut对外的公开表态——系统和客户资金"未受影响"、拒绝证实受影响人数——是在把事件定性收窄为"人为流程漏洞"而非"系统性安全失守"，以降低对其银行牌照和估值叙事的冲击。

来源：公开信息