冒用政府邮箱“钓鱼”，Revolut泄露高净值客户敏感数据，IPO前夕再敲安全警钟

【科技24时区】当一封看似来自合法政府机构的电子邮件悄然抵达Revolut的收件箱，一场精心策划的身份伪装骗局便已拉开序幕。这家总部位于伦敦的金融科技巨头近日证实，因未能识破这一 sophisticated（复杂）的外部冒充诈骗，导致部分客户的敏感信息被非法披露给未经授权的第三方。值得注意的是，攻击者利用的是真实的政府机构域名邮箱发送欺诈性数据请求，这种“灯下黑”的手法极具迷惑性，也暴露了即便在严格合规体系下，人为审核环节仍可能成为安全防线的薄弱环节。

据TechCrunch获取并审阅的通知邮件显示，此次泄露的数据维度相当广泛且致命。除了常规的姓名、出生日期、邮政及电子邮件地址、电话号码等身份与联系方式外，更令人担忧的是护照和驾照等身份证件副本的流出。Revolut在通知中进一步透露，受影响的数据还可能包括用于身份验证的自拍照片、账户对账单以及交易历史记录。对于金融用户而言，这些信息的组合足以构成完整的“数字身份画像”，一旦落入黑产手中，后续的精准诈骗或身份盗用风险将呈指数级上升。

面对外界关切，Revolut发言人向媒体确认，受影响的客户数量“有限”，公司已在第一时间直接联系了这些用户。然而，对于具体涉及多少人、是否局限于特定市场区域，以及究竟是哪一家政府机构的邮箱被冒用，Revolut均选择了缄默，未予披露。这种信息的不透明，某种程度上加剧了公众的疑虑。发言人强调，公司在发现该未经授权的第三方行径后，迅速封锁了相关邮箱地址，并向涉事政府机构、执法部门及相关监管机构通报了情况，同时坚称“Revolut的系统架构和客户资金未受任何影响”。

从某种角度看，这起事件发生的时间点颇为微妙。就在本月早些时候，美国货币监理署（OCC）刚刚有条件批准Revolut在美国设立国民银行，预计其将于2027年上半年正式开业。与此同时，Revolut正积极拓展其在印度、墨西哥、法国和阿联酋等地的业务版图，并在近期接连获得了法国和英国的银行牌照。作为全球拥有超过8000万用户的金融科技独角兽，Revolut正处于从“支付工具”向“全能银行”转型的关键期，其估值也从去年11月的750亿美元飙升至潜在公开上市时的2000亿美元预期。在这样的资本高光时刻，数据安全事件的曝光无疑是一记沉重的警钟。

知名加密货币安全研究员ZachXBT在周五晚间发布了关于此事的分析，他指出，这次攻击似乎专门针对高净值用户群体。这一细节值得深思：黑客并非盲目撒网，而是通过伪造官方背书，精准撬动那些资产规模较大、对隐私更为敏感的用户数据。这反映出网络犯罪正在向专业化、定制化方向演进，传统的批量防护策略在面对此类社会工程学攻击时显得捉襟见肘。

尽管Revolut声称系统本身未被攻破，但此次事件折射出的问题远超技术层面。在金融科技行业加速全球化扩张的背景下，合规与安全的边界日益模糊。尤其是当企业急于在新市场获取银行牌照、冲刺IPO估值时，内部风控流程是否会因业务压力而出现松懈？冒用政府域名之所以能得逞，往往是因为接收方对“权威来源”的天然信任降低了警惕性。对于即将迈向公众公司的Revolut而言，如何重建用户对其数据治理能力的信心，或许比单纯的技术修补更为紧迫。毕竟，在金融领域，信任一旦破碎，修复的成本远高于构建它的代价。