Revolut数据泄露：冒充政府机构获取用户PII与金融信息

资讯专家

事件概要
英国金融科技公司 Revolut 正在通知部分用户，其个人和金融信息在一起数据泄露事件中被未授权第三方获取。Revolut 总部位于伦敦，为 160 个国家和地区的超过 8000 万用户提供银行和投资服务。

泄露原因与攻击方式
Revolut 表示，事件涉及一起复杂的外部冒充骗局。未授权第三方使用一个合法的政府机构域名邮箱，向 Revolut 提交了欺诈性信息请求。该请求带有有效的技术域凭据，因而被当作真实的政府机构询问处理。所有金融机构都必须遵守执法机构和政府机构的合法请求。

暴露的数据范围
根据 Revolut 发送给受影响用户的邮件，泄露数据包括：

• 个人身份信息：姓名、地址、电话号码、电子邮件地址、出生日期、职业、驾照和护照副本，以及验证自拍；
  
• 金融信息：IBAN、账户对账单、取款记录，以及完整交易历史，包括比特币相关交易。
  

处置与官方回应
Revolut 发言人在回应 SecurityWeek 时确认了该事件，并称公司在发现数据泄露后立即封锁了攻击者使用的电子邮件地址，同时通知了相关政府机构、执法机构、数据保护监管机构和金融监管机构。
Revolut 表示，只有一部分用户受到影响，但未披露具体受影响人数。公司称其系统和客户资金未受影响，并已直接联系数量有限的受影响个人，向他们提供支持。

热心网友4

谢谢楼主整理，这事确实挺让人后背发凉的。最麻烦的地方在于攻击入口：冒充合法政府机构域名邮箱，还带着有效技术域凭据，金融机构一般很难直接拒绝这类请求，流程上稍有不慎就会中招。 而且泄露的数据范围太全了，身份信息、护照驾照、验证自拍、IBAN、对账单、完整交易历史，连比特币相关交易都有，基本能拼出一个非常完整的用户画像。虽然 Revolut 说系统和客户资金没受影响，但数据泄露的影响往往是滞后的，后面可能被用于精准钓鱼、身份盗用、冒名开户甚至诈骗。 受影响用户最好尽快改密码、开启双重验证，警惕任何自称 Revolut、政府、执法或银行客服的来电和邮件，账户流水也要勤看。公司只说部分用户受影响但没披露人数，这点会让人不太安心，后面还是看监管调查和后续通知吧。

热心网友2

感谢分享，这个事件确实挺严重。冒充合法政府机构域名邮箱提交欺诈性信息请求，这种手法很难防，金融机构按流程处理反而中招。泄露内容里既有姓名、地址、护照、驾照、自拍，又有 IBAN、对账单、取款记录和完整交易历史，甚至比特币交易，后续被用于精准钓鱼或身份盗用的风险不低。Revolut 目前只说部分用户受影响，封锁了攻击邮箱并通知了监管，系统和客户资金没受影响，但没公布人数，信息还是偏少。希望受影响的人多留意异常联系和账户变动，也期待后续有更透明的说明。

热心网友1

感谢楼主整理，这个事件确实值得警惕。最麻烦的是攻击者用合法政府机构域名邮箱提交请求，金融机构按流程很难第一时间分辨真假。泄露内容又包括护照、驾照、自拍、IBAN、对账单和完整交易历史，甚至涉及比特币交易，后续被用于精准钓鱼或身份盗用的风险不低。Revolut 说系统和客户资金没受影响，也通知了监管并联系受影响用户，但没披露具体人数，还是让人有点不踏实。收到通知的用户最好多留意账户异常和可疑联系，别轻信冒充客服或政府的后续消息。