Revolut 被一封「政府邮件」骗走客户护照、自拍和比特币记录

没有漏洞，没有木马，一封格式规范的邮件就打开了金库。

三个关键信息

Revolut 9 月 12 日确认，向冒充政府的第三方交出了客户敏感数据。 对方用一个真实政府机构域名下的邮箱发来「信息调取请求」，邮件通过了身份验证，员工据此认定请求合法。Revolut 没有透露是哪国哪个机构，也没公布受影响人数，只称数量「有限」并已逐一通知。

泄露内容几乎是一整套身份包。 包括出生日期、住址、邮箱、电话，护照和驾照复印件，开户验证用的自拍，账户流水和交易记录，据 CoinDesk 报道还包括 IBAN 和比特币钱包相关记录。Revolut 强调系统和客户资金未受影响。

时间点很尴尬。 Revolut 在全球 30 多个国家拥有超过 8000 万客户，9 月刚拿到美国货币监理署（OCC）的全国性银行牌照有条件批准，同时在筹备估值最高可达 2000 亿美元的上市。

王斗视角

KYC 的逻辑是：为了安全，请把护照、自拍、住址全交给我们。结果这套最完整的身份包，被一封礼貌的邮件原样送了出去。用户按规矩交的「保险」，变成了诈骗者最想要的「全家桶」。

邮件「通过了验证」这句话最值得咀嚼。技术验证只能证明这封信确实从那个政府邮箱发出，证明不了发信的人是谁。冒充执法机构调数据的手法并不新，2022 年苹果和 Meta 就都栽过同样的坑。一家冲刺 2000 亿估值、刚拿到美国银行牌照的公司，处理数据调取请求的流程，居然还停留在「看发件人后缀」的水平。

对诈骗者来说，这份资料的价值远超一次盗刷：有护照、有自拍、还知道你持有比特币——下一步的精准钓鱼，已经写好了剧本。

来源：TechCrunch · CoinDesk