Revolut 遭假政府邮件骗取客户数据
Revolut confirms customer data breach through fake government requests
英国金融科技巨头 Revolut 确认，其因收到伪装成合法政府机构域名的欺诈邮件，向未授权第三方泄露了敏感客户信息。泄露数据涵盖客户身份、联系方式、出生日期，甚至包括护照、驾照复印件及验证自拍等核心资料。虽然 Revolut 表示受影响人数有限且客户资金安全未受波及，但并未公开具体受影响人数或涉事政府机构。此次事件发生在 Revolut 全球用户突破 8000 万、近期获得美国有条件银行牌照并筹备 IPO 的关键节点，安全研究员 ZachXBT 指出此次攻击可能针对高净值用户。
Revolut 最近发现了一起精心策划的外部伪装诈骗，其中未授权的第三方利用合法政府机构的域名邮箱提交了欺诈性的信息请求。
HN 评论区
130- neither_color
我和 Revolut 卡有过一次有趣的经历。我只有在旅行时才会充值，其余时间卡里基本空着，大概只剩 3-4 美元。不知从何时起，我开始偶尔收到交易被拒的通知。比如游戏点券和一些零零散散的网店。显然我的卡被侧录了，或者通过某种方式泄露了。真倒霉。
既然离我下一次旅行还有几个月，我没有立刻挂失卡片，而是出于好奇让它继续放着。我开始逐一屏蔽每一个试图扣款的商家。后来，我开始收到 Netflix 订阅扣款尝试，当我试图屏蔽时，系统提示：“我们无法屏蔽对 Netflix 的付款。如果您有他们的订阅，可以直接取消。”这让我好奇他们的后端到底运行着多么复杂的鲁布·戈德堡机械。
- hndhyc0bdt
我曾负责过一段时间的法律执行请求（LE request）处理台，整个过程全是来自看似 .gov 邮箱的 PDF 文件。我们唯一真正的控制手段就是自己查找该机构的电话号码并回电确认，而不是使用信头纸上印的那个号码。
- entropyneur
在拉脱维亚，政府发送的任何重要文件都是经过加密签名的。虽然这并非无懈可击，但这应该是我们在这个时代所要求的基本标准。
- rawland
这种事怎么可能会发生在一家现代金融科技企业身上……尤其是身份验证环节处理得如此糟糕？
> Revolut 发言人向 TechCrunch 确认，受影响的客户数量“有限”，并表示公司已直接联系这些客户。然而，Revolut 并未披露受影响的具体人数。此外，该公司也未回应此次事件是否仅限于特定市场，并拒绝透露涉及的政府机构。
这里的缺乏透明度是为了保护那些信息泄露的高净值人士（HNWIs），还是他们只是想掩盖自己的无能？
- tdrz
这是我与他们的客服（不确定是真人还是自动回复）对话中收到的一条回复：
“您的个人数据必须保留，直到根据法律规定可以将其删除。请放心，数据完全安全，仅为此目的而保留。”
而这条回复正是在我给他们发送了那篇文章的同一场对话中收到的。
- codedokode
这提醒了我们，那些开开心心把护照和自拍上传到 App 里的人会有什么下场。如果你不想最终出现在俄罗斯地下论坛上，就别这么做。
- janandonly
存储身份数据（比如护照扫描件）并非必要。关键问题是“你是否核实了客户身份？”。如果答案是肯定的，那就标记为已核实即可。你根本不需要存储这些扫描件。
- hrpnk
即使触发事件是伪造的，为什么政府没有提供一个安全的渠道来接收这些数据？难道这个渠道也被攻陷了吗？