Revolut 涉嫌在收到伪造政府请求后泄露客户数据

关键事实

关键事实

Revolut 涉嫌响应一封伪造的政府数据请求，并提供了真实的客户记录。

据报泄露的数据包括身份证明文件以及与受影响账户相关的比特币交易历史。

截至本文撰写时，该公司尚未发布专门详细说明该事件的公开声明。

Revolut 涉嫌在收到一封冒充政府机构的数据请求（而非真正来自该机构的请求）后，移交了客户身份证明文件和比特币交易记录。如果情况属实，这一失误属于一个特定且众所周知的类别：并非 Revolut 系统遭到黑客攻击，而是公司在移交数据前验证请求方身份的流程出现了漏洞。

为何这种故障模式不同于数据泄露

传统的数据泄露意味着攻击者突破了技术防御，利用代码或基础设施中的漏洞窃取数据。此处描述的情况属于社会工程学失败：一份格式和措辞看似来自执法部门或监管机构的请求，通过公司默认视为合法的渠道发送。金融机构为真正的政府请求保留快速处理流程，正是因为执法部门有时需要快速获取记录，而令人信服的伪造文件正是为了利用这种速度。解决此类故障的方法是程序性的，即在响应之前独立验证请求机构的身份，而非像软件补丁那样进行技术修复。

据报泄露的具体数据比泛泛提及“客户数据”所暗示的更为重要。身份证明文件是账户接管和进一步身份冒充诈骗的原材料。与真实身份绑定的比特币交易历史是一种更不寻常且更敏感的数据泄露类别，因为它们可以将具名个人与特定的钱包活动联系起来，而个人可能从未预期这些活动会追溯到自己身上，这种暴露带来的后续风险超出了典型的金融诈骗范畴。

什么才能真正证实该报道

截至本文撰写时，Revolut 尚未通过其官方渠道（包括其新闻室或关于保护账户免受诈骗的已发布指南）就这一特定事件发布专门声明。对于像 Revolut 这样规模和监管足迹的公司而言，这种缺失本身值得注意，因为此类已确认的泄露通常会根据其运营司法管辖区的数据保护法触发强制通知义务。任何认为其 Revolut 账户信息可能受到影响的人，都可以通过公司自己的欺诈和网络犯罪报告目录直接报告关切，该目录列出了每个市场的相关国家主管机构。在 Revolut 或国家数据保护监管机构发布正式调查结果之前，被访问的具体内容以及受影响的账户数量仍未得到证实。

本文最初发表于《Revolut 涉嫌在收到伪造政府请求后泄露客户数据》