一封伪装成政府机构的邮件,骗过了Revolut的身份核验机制。这家拥有数千万用户的数字银行随后按要求交出了一批客户资料,事后联系相关机构才发现,对方根本没有发过这份请求。
外泄的信息包括护照和驾照扫描件、开户时提交的验证自拍照、住址、出生日期、IBAN账号,以及一份独立的比特币交易记录——钱包编号、提现金额和完整的转账历史。Revolut强调,面部生物识别数据没有外泄,这与被曝光的验证自拍照属于不同类别。
问题出在审核环节本身。伪造邮件所附的凭证顺利通过了Revolut内部的身份验证流程,看起来像一份真实的官方请求。银行先交出了数据,后来主动联系该机构核实时才发现请求是假的。
客户账户资金没有任何损失,这次泄露不涉及资金访问权限。但护照信息加上完整的比特币交易记录,恰好是精准诈骗最需要的素材——冒充交易所、银行或客服人员实施定向诈骗的案例并不少见。链上侦探ZachXBT分析认为,此次泄露范围较窄,更像是针对高净值客户的定向攻击,而非大规模数据泄露。
Revolut表示已在所有系统中封锁了涉事邮箱地址,已于9月11日通知受影响客户,同时上报监管部门,并提醒被冒用身份的机构注意。截至目前,Revolut尚未公布具体受影响的客户人数。
