Revolut客戶資料外洩與300萬美元勒索：已證實、僅屬聲稱與未解疑點

Revolut已確認，詐騙者透過一個合法政府機關的電子郵件網域發出偽造資料請求，令公司向未授權第三方披露敏感客戶資訊。公司將事件定性為外部假冒與社交工程詐騙，而非其核心系統已遭入侵。 12

事件其後出現一項公開勒索聲稱：使用「iamnotavillain」名義的團體威脅出售資料。不過最重要的保留是，Revolut向路透表示，公司未曾直接收到自稱負責人士或團體的聯絡或贖金要求。 2

Revolut已確認的事實

據路透報導，Revolut表示，詐騙者利用合法政府機關電子郵件網域提交具欺騙性的客戶資料請求；公司在識破詐騙前，已向未授權第三方披露敏感資訊。 1

Revolut稱已通知受影響客戶，最初僅形容人數「非常有限」。路透其後報導，事件據了解約涉及680名客戶，但這個數字並非Revolut在最初公開聲明中披露。 12

根據向受影響客戶發出的通知及相關報導，外洩資料可能包括出生日期、住址、電話等身分與聯絡資訊，以及身分證明文件副本。TechCrunch報導，資料也可能涵蓋身分驗證自拍照、帳戶對帳單及其他帳戶相關文件。 5

Revolut的系統真的遭駭了嗎？

依Revolut的說法，以及熟悉事件人士向媒體提供的資訊，Revolut核心基礎設施、資料庫與客戶帳戶並未遭駭；公司也表示，其系統與客戶資金未受影響。 12

這項區分很關鍵：目前已確認的是，公司受偽造請求誘導而披露資料，並非已證實有人技術性入侵其帳戶系統或資料庫。事件完整的技術與作業流程尚未由公開報導獨立釐清，因此不應過度延伸解讀。 12

300萬美元勒索：哪些部分仍只是聲稱？

路透引述《金融時報》報導，聲稱負責的行為者威脅，若Revolut未在24小時內支付300萬美元，將把數百名客戶的機密紀錄出售給其他犯罪團體。 2

其他報導稱，對方索取的是6,000枚門羅幣（XMR），按當時估值約為300萬美元，並以「iamnotavillain」為名在網路上發布最後通牒與倒數計時；該團體亦聲稱雙方沒有進行談判。 46

然而，這些內容是自稱攻擊者所提出、或由報導歸因於其的主張；它們不能證明該團體身分真實，也不能證明其確實持有全部宣稱掌握的資料，或有能力將資料付諸出售。Revolut表示未收到直接勒索要求，也進一步增加了這份公開最後通牒的不確定性。 26

已知與未知：快速整理

有公司聲明或主要報導支持

• 來自合法政府機關電子郵件網域的偽造請求，導致敏感客戶資料遭未授權披露。 1
• Revolut表示，其系統與客戶資金未受影響。 1
• 路透報導，Revolut未直接收到自稱行為者的聯絡或贖金要求。 2
• 報導估計受影響客戶約為680人。 24

尚未驗證，或取決於自稱攻擊者的說法

• 「iamnotavillain」是否就是造成資料披露的個人或團體。 26
• 該團體是否持有其宣稱的完整客戶資料。 26
• 是否已有資料被出售、分享或被其他犯罪團體使用。 2
• 讓偽造請求取得可信度的完整技術與內部作業鏈。 12

結論

現有證據支持一項範圍較窄、但仍相當嚴重的結論：Revolut因誤信源自合法政府機關網域的詐騙請求，向未授權第三方披露了敏感客戶資料。Revolut否認核心基礎設施或客戶帳戶遭入侵。 12

至於300萬美元門羅幣要求、24小時期限、倒數計時，以及「iamnotavillain」的歸屬，雖已有公開報導，但仍是與自稱攻擊者相關的指控。在獲得獨立驗證前，這些說法應與Revolut已確認的資料披露事件分開看待。 26