一封通过安全校验的伪造政府电子邮件导致 Revolut 泄露 KYC 数据

在一封携带有效域凭据的伪造政府电子邮件通过其校验后，Revolut 交出了 KYC 文件、自拍照和 Bitcoin 交易历史。

据 TechCrunch 报道，Revolut 于 2026 年 9 月 12 日确认，在收到从运行于某实际政府机构域基础设施内的电子邮件地址发出的欺诈性信息请求后，其向一个未经授权的第三方披露了敏感客户数据。9 月 11 日开始流传的客户通知中称，该通信携带有效的域身份验证凭据，这意味着该电子邮件通过了本应用于确认消息确实来自政府机构的检查。

"Revolut 收到了一项看似来自合法政府机构的客户信息请求。该请求来自一个未经授权的电子邮件账户，直接使用该政府机构的官方电子邮件域发送，"Revolut 的通知写道。"由于该通信携带有效的域身份验证凭据，我们在合理相信其为真实的政府机构请求的情况下完成了该请求。"

"泄露的数据包括客户的身份和联系信息，包括出生日期、邮政地址、电子邮件地址和电话号码，以及其身份证件的副本（包括护照和驾照），据一封发送给受影响客户并经 TechCrunch 审阅的通知。"TechCrunch 报道称。"该公司在通知中表示，数据可能还包括验证自拍照、账户对账单和交易历史。"

包括 CoinDesk 和 Crypto Times 在内的多家媒体证实，交易历史涵盖 Bitcoin。Revolut 交出的实质上是一家受监管的金融科技公司为身份验证所需收集的全部内容，打包在一起，发送给了错误的人。

以下是通知中报告的移交数据详情：

• 身份详情：全名、出生日期、职业
• 联系方式：邮政地址、电子邮件地址和电话号码
• 文件和验证数据：您的身份证件副本（护照和/或驾照）和面部验证图像（您为验证提供的自拍）。请注意，不涉及任何生物识别面部遥测数据，也没有泄露此类数据
• 金融数据：账户对账单（包括 IBAN、账户状态、开户日期、钱包参考编号）、提款记录和完整交易历史（包括 Bitcoin）

这不是通常意义上的技术性入侵。没有系统被攻陷，没有使用恶意软件，Revolut 的服务器也未被外部人员访问。攻击者要么在官方政府机构的域内创建了一个流氓账户，要么攻陷了一个现有账户，然后使用该账户提交了一份看似合法的数据请求。Revolut 员工处理了该请求。该公司只是在事后通过独立联系该政府机构核实请求时才发现欺诈行为，此时该机构确认其并未发出该请求。

Revolut 表示，该事件影响了有限数量的客户，并已立即联系他们，但未披露事件范围。

Revolut 还拒绝透露涉事政府机构的名称，也未说明该事件是否影响特定国家或市场。透露该机构的名称将使其他受监管平台能够在自己的法律请求日志中搜索来自同一邮箱的邮件。在这一点上的沉默，对于可能收到过类似请求的其他金融科技公司而言，是公共记录中的一个重要空白。

加密货币安全研究员 ZachXBT 曾发布关于 Revolut 向受影响客户发送通知的消息，他评估认为该事件似乎是针对高净值用户的。

"我不知道为什么我被 Revolut 的两个账户都屏蔽了。"（推文，2026年9月12日）

如果这一评估正确，这就不是一次大规模的数据窃取。它似乎是一次有针对性的行动，旨在利用 KYC 文件与其真实身份关联的加密货币交易历史，构建富裕人群的详细档案。结合 IBAN 和账户对账单，这些信息可能对欺诈、冒充或勒索非常有用。

Revolut 表示，其已封锁该电子邮件地址，向涉事政府机构发出警报，通知了执法部门，并向金融监管机构报告了该事件。Revolut 还表示，其系统和客户资金未受影响。这在技术上可能是真的，但忽略了要点：攻击者无需入侵 Revolut 的系统即可获取数据。

TechCrunch 认为，此次泄露发生在 Revolut 寻求更高监管公信力之际。该公司最近获得了成为美国国家银行的有条件批准，据报道正考虑进行 2000 亿美元的 IPO，并在全球拥有 8000 万客户。该事件还凸显了金融科技数据请求流程中的弱点：主要依赖电子邮件身份验证，可能使能够访问政府域的攻击者绕过检查并获取敏感的客户数据。