Revolut員工遭冒充官員騙局致近700人數據外泄

英國《金融時報》報道，數字銀行Revolut在一起社會工程攻擊事件中，將近700名客戶的敏感數據交給了冒充政府官員的網絡犯罪分子，涉及護照信息、銀行賬號和家庭住址。

據知情人士透露，Revolut已經聯繫了它認爲受影響的680名客戶，逐一告知數據外泄情況。整起事件的觸發點是攻擊者獲取了一個真實政府機構的郵箱賬號，並用這個真實郵箱向Revolut發送了看似合法的官方數據調取請求。

Revolut內部在覈實請求來源郵箱確爲政府域名後予以配合，交出的內容不止基礎身份信息：還包括客戶住址、用於身份覈驗的驗證照片、身份證件掃描件，以及部分客戶的比特幣交易活動記錄——這意味着受害者的加密資產持倉和交易行爲也被暴露給了攻擊者。

拿到數據後，攻擊者轉向勒索：以公開泄露全部數據爲要挾，向Revolut或受影響客戶索要贖金，事件性質從單純數據泄露升級爲勒索案件。

英國信息專員辦公室（ICO）已確認介入調查此事，這意味着該事件進入英國數據保護監管的正式審查程序，Revolut需要面對監管問詢而非僅靠內部危機公關處理。受影響客戶中包括Mt Gox前首席執行官Mark Karpelès——這位曾經歷過歷史上最大比特幣交易所被盜案的人物，如今又出現在另一起涉及加密數據的泄露事件受害者名單中。

從機制上看，這起事件裏沒有傳統意義上的買賣雙方，但存在明確的施壓方與受損方：攻擊者是索取方，通過勒索威脅將竊取的數據變現，客戶的護照、住址和比特幣活動信息若被公開或轉賣，將直接被用於身份盜用或精準詐騙的黑產鏈條；Revolut是承壓方，一邊要應對ICO的正式調查（可能面臨處罰），一邊要安撫680名被直接點名通知的客戶；而Revolut對外的公開表態——系統和客戶資金"未受影響"、拒絕證實受影響人數——是在把事件定性收窄爲"人爲流程漏洞"而非"系統性安全失守"，以降低對其銀行牌照和估值敘事的衝擊。

來源：公開信息