Revolut在假冒政府请求后泄露比特币活动和护照信息

这家数字银行在将欺诈性政府请求视为合法请求后,交出了包括护照、自拍照、家庭地址和比特币交易详情在内的敏感客户数据,尽管没有资金被盗。

总部位于伦敦的数字银行Revolut在全球拥有超过4000万用户,该公司已确认在成为复杂社会工程攻击的受害者后发生了重大数据泄露。该公司错误地处理了看似合法的政府数据请求,将高度敏感的客户信息交给了冒充执法官员的诈骗者。

泄露的数据包括护照副本、自拍验证照片、家庭地址,以及对于加密货币用户至关重要的平台上比特币活动的详细记录。泄露影响了未公开数量的客户,尽管Revolut强调在事件期间没有客户资金被泄露或被盗。该公司在数据已经传输后才发现了欺诈请求。

这次泄露突显了加密货币和金融科技生态系统中日益增长的漏洞:对合法数据请求流程的利用。金融机构在法律上有义务响应政府和执法请求,当犯罪分子成功冒充当局时,这创造了潜在的攻击途径。比特币交易数据的包含尤其令人担忧,因为这可能使针对已知持有加密货币的客户进行针对性网络钓鱼活动或物理安全威胁成为可能。

Revolut没有披露攻击者用于验证其虚假请求的具体机制,也没有披露他们声称代表的司法管辖区。行业专家认为,攻击者可能伪造了官方信头、使用了被入侵的政府电子邮件地址,或利用了银行用于验证执法请求的验证程序中的漏洞。所需的复杂程度表明这是有组织的犯罪活动,而非机会主义黑客。

对于受影响的客户,护照数据与加密货币活动的结合泄露造成了多重风险。有了经过验证的身份文件,身份盗窃变得更容易,而对比特币持有情况的了解使个人成为SIM卡交换攻击、网络钓鱼尝试甚至物理威胁的目标。安全研究人员建议受影响的用户启用额外的身份验证层,监控信用报告,并考虑更改与高价值加密货币持有相关的地址。

这一事件发生在Revolut的敏感时期,该公司一直在多个司法管辖区寻求银行牌照,并因其快速增长和合规实践面临越来越多的监管审查。该公司每年处理数十亿的加密货币交易,并将自己定位为传统银行业务和数字资产之间的桥梁。这次泄露可能促使监管机构审查金融科技公司如何验证和响应政府数据请求。

Revolut表示已向相关数据保护机构和执法机构报告了该事件,并正在为未来的政府请求实施额外的验证步骤。该公司正在直接通知受影响的客户并提供信用监控服务。行业观察者指出,针对数据请求流程的类似社会工程攻击已经影响了其他金融机构,这表明这可能代表整个行业的新兴威胁载体,而不是一家公司的孤立事件。