英国金融服务公司Revolut确认发生了一起事件：在收到来自合法政府机构电子邮件域名的欺诈信息请求后，少量客户的敏感数据被披露给未经授权的一方。该公司表示，已直接通知受影响客户，同时也通知了相关政府机构、执法部门以及有关金融监管机构。
根据Revolut发送给客户、并由TechCrunch审阅的通知，泄露的数据包括身份和联系信息，例如出生日期、邮寄地址、电子邮件地址和电话号码。数据还包括身份证件副本，其中有护照和驾驶证。该公司说明，信息可能还包括身份验证自拍、账户结单和交易记录。
仍未公布的细节
Revolut没有说明受影响客户的确切人数，只称人数“有限”。该公司也没有说明事件是否仅限于某个市场，并拒绝透露其电子域名被用于冒充的政府机构名称。
该公司表示，未经授权的一方利用合法政府机构的域名发送虚假信息请求。发现这一骗局后，Revolut封锁了所使用的电子邮件地址，并通知了相关官方机构。该公司还补充说，其系统和客户资金未受此次事件影响；这一区分表明，此次事件属于客户数据泄露，而不是对系统或金融账户的直接入侵。
为什么这则新闻重要？
这起事件的重要性在于，根据现有信息，攻击者并未入侵政府域名或Revolut系统，而是利用与合法电子邮件地址相关的信任，获取未经授权的信息披露。这使该事件成为验证数据请求风险的一个例子：当发件机构看起来是官方机构时，相关请求尤其容易被信任；对于处理高度敏感身份证件和交易记录的金融机构而言，风险更为突出。
专门研究加密货币的安全研究员ZachXBT指出，这起事件似乎针对的是高净值用户，但Revolut并未在通知或被引用的声明中证实这一信息。该公司表示，其在全球拥有超过8000万名客户，并在30多个国家开展银行业务，因此确切的地理影响范围仍是一个未解问题。
背景与限制
这起事件发生之际，Revolut正在扩大其在欧洲及其他市场的银行业务布局，其中包括印度、墨西哥、法国和阿拉伯联合酋长国。美国货币监理署还已附条件批准该公司设立一家全国性银行，预计于2027年上半年推出。与此同时，有报道称该公司正在研究潜在的公开上市，届时其估值可能达到2000亿美元；相比之下，该公司11月的私募估值为750亿美元。
已公布的信息没有说明受影响记录的数量、欺诈请求持续有效的时间，或监管机构将采取的其他措施。因此，目前能够确认的内容仅限于数据泄露事实以及可能被披露的数据类型，尚无充分依据评估最终规模，或确定这起事件是否与某个市场或特定客户群体有关。