Revolut数据泄露：护照通过伪造请求被泄露

发生了什么：一份伪造的政府请求骗过了Revolut

Revolut，这款数百万人用于日常银行业务和加密货币交易的金融科技应用，已确认在被一份伪造的政府请求欺骗后，泄露了敏感的客户数据。攻击者并非利用软件漏洞或突破防火墙，而是似乎使用了一个真实政府域名内的未经授权的电子邮件账户来索取客户信息，而Revolut将该请求视为合法请求。

结果是数据泄露事件，而非传统意义上的黑客攻击。没有服务器在传统意义上被入侵。相反，有人让Revolut的内部流程相信他们是有权获取客户记录的合法机构，于是公司交出了数据。这是社会工程学的教科书式案例：操纵信任和流程，而非攻破加密或代码。

如需更深入了解该事件如何展开以及Revolut如何回应，我们的配套文章Revolut数据泄露暴露护照和比特币数据详细梳理了完整时间线和公司的官方声明。

哪些数据被暴露：护照和比特币历史记录

此次Revolut数据泄露所涉及的数据类别对于金融科技泄露事件而言异常敏感。据对该事件的报道，被暴露的信息包括护照和驾照的副本、身份验证自拍，以及与受影响账户相关的完整比特币交易历史。

这种组合至关重要。护照扫描件和验证自拍是用于开设新账户、申请信贷或通过其他地方身份检查的那类文件，使其对身份盗窃极具价值。比特币交易历史揭示了钱包活动、交易模式以及潜在的账户余额，这些信息可用于直接针对加密货币持有者，无论是通过网络钓鱼、勒索企图，还是对高价值持有者进行人身定位。

由于身份文件和金融交易历史同时被暴露，受影响的用户同时面临两方面的风险：传统的身份欺诈和针对加密货币的定向攻击。

你是否受影响？检查和保护账户的步骤

如果你持有或曾经持有Revolut账户，尤其是用于加密货币的账户，有一些具体步骤值得立即采取。

首先，直接检查来自Revolut的电子邮件和应用内通知。涉及此类事件的公司通常会通知受影响的客户而非全体用户群，因此直接通知是你的数据属于泄露范围的最明确信号。

其次，如果你通过Revolut的身份验证流程完成了验证，请将你的护照或驾照视为可能已暴露。考虑向所在国家的相关信用机构设置欺诈警报或信用冻结，并留意意外的账户开设尝试或信用查询。

第三，如果你在Revolut上持有比特币或其他加密资产，请假设你的交易历史和钱包关联可能不再私密。如果你担心引用你过往交易记录的定向网络钓鱼或诈骗，考虑将资产转移到新的钱包地址，并对任何主动联系你、提及你持有资产具体细节的信息保持怀疑，因为诈骗者可能利用泄露的数据来显得可信。

第四，在可用的情况下启用额外的账户保护：强大且唯一的密码、通过验证器应用而非短信的双因素认证，以及密切监控登录活动和交易提醒。

为什么社会工程学能绕过即使强大的安全防护

这起事件中更令人不安的一个方面是，它根本不需要攻破Revolut的技术防御。加密、安全服务器和强密码无法阻止一家公司在认为自己是在回应合法法律请求时主动交出数据。这正是社会工程学所利用的核心弱点：它针对的是人类决策和机构信任，而非代码。

这是跨行业常见的模式，不仅仅是金融科技。能够令人信服地冒充执法部门、政府机构或内部人员的攻击者，往往通过一份精心制作的请求就能获得比数月技术黑客攻击更多的信息。降低这一风险需要公司通过独立渠道验证请求，而不仅仅是依赖电子邮件附带的凭证，也需要用户假设任何持有其身份文件和金融历史的组织都是此类操纵的潜在目标。

这对你意味着什么

Revolut数据泄露提醒我们，数据安全中最薄弱的环节往往是流程，而非技术。即使是一家资金充裕、拥有强大技术保障的金融科技公司，也可能被一份令人信服的伪造请求所欺骗。对于日常用户而言，这意味着个人警惕性与平台自身的防御同样重要。检查泄露通知、监控身份和信用活动，以及对与加密货币相关的通信保持额外审查，是限制损害的实际且省力的方法。