Revolut 確認在收到來自合法政府機構電子郵件地址的偽造請求後，將敏感客戶資料披露給未經授權的第三方。此次外洩涉及 KYC 文件、自拍照片以及比特幣交易歷史。 此事件突顯了金融科技安全中一個反覆出現的弱點，即透過利用對政府網域的信任，讓社會工程攻擊繞過技術檢查。這不僅影響客戶隱私，也引發了業界對驗證最佳實踐的廣泛討論。 該偽造電子郵件使用了通過 Revolut 安全檢查的有效網域憑證，使攻擊者無需額外驗證即可取得 KYC 資料。Revolut 已通知受影響的客戶、監管機構和執法部門，但未披露受影響的確切人數。

事件背景

金融科技中的社會工程攻擊通常涉及冒充受信任的實體（如政府機構），以誘騙員工或自動化系統釋放資料。驗證協議通常依賴電子郵件網域驗證，但進階攻擊者可以偽造合法網域或使用洩漏的憑證來繞過這些檢查。

社群觀察

社群成員討論了目前驗證方法的局限性，有人指出手動查詢號碼後回撥是更可靠的控制手段。其他人則強調政府文件採用數位簽章的重要性，並對 Revolut 在洩漏規模方面的透明度不足提出質疑。