2026年9月12日，英国金融科技公司Revolut向受影响客户发送安全通知并经TechCrunch审阅后确认，公司近期遭受了一起利用真实政府机构电子邮件域名实施的伪造信息请求攻击，导致"有限数量"客户的敏感个人信息泄露。事件在加密安全研究员ZachXBT于当日晚间公开披露后引发广泛报道。Revolut全球拥有超过8000万客户，当前正筹备一项可能使其估值达到2000亿美元的公开上市计划，此次数据泄露事件对其上市进程构成潜在压力。
攻击手法：真实政府域名，伪造合规请求
TechCrunch获取的客户通知显示，攻击者并非通过钓鱼邮件或系统漏洞入侵Revolut技术基础设施，而是利用了一个真实政府机构的电子邮件域名（Revolut未披露具体机构），向Revolut发送合规信息索取请求。由于邮件来源于合法政府域名，Revolut合规团队在审核后按流程提供了客户数据。泄露的信息包括客户的姓名、出生日期、通信地址、电子邮箱、电话号码，以及护照和驾照的扫描件。通知同时指出，受影响数据"可能还包括"账户验证自拍照、银行对账单和交易历史记录。Revolut发言人对TechCrunch表示，已封锁相关电子邮件地址，并向执法部门及相关监管机构发出警报，同时强调"Revolut系统与客户资金未受影响"——即攻击未涉及账户余额或交易执行层面的入侵。
高净值用户遭定向攻击
ZachXBT在公开帖子中指出，此次事件呈现出明显的定向攻击特征，目标锁定为Revolut的高净值用户群体（high net worth users）。这类用户的护照扫描件、交易记录与银行对账单在暗网市场具有极高价值，可用于身份盗用、信用欺诈与跨境洗钱中的KYC（了解你的客户）伪造。考虑到Revolut近期已获美国货币监理署（OCC）有条件批准设立国家银行、预计于2027年上半年开业，此次事件暴露了合规流程中"人工审核政府请求"环节的系统性弱点。
Revolut的全球扩张与上市压力
事件发生时，Revolut正处于业务扩张与上市筹备的关键节点。公司在过去数月内先后获得法国与英国银行牌照，并将业务延伸至印度、墨西哥、法国与阿联酋市场。据多家媒体报道，Revolut正在评估以最高2000亿美元估值进行IPO的可能性，较2022年11月的750亿美元私募估值增长约167%。对于一家以"银行级安全"为品牌核心卖点的金融科技公司而言，客户身份文件泄露事件无疑将引起监管机构与投资者的高度关注。评论区多位行业观察者指出，此次事件凸显了一个深层问题：即便技术系统完全未被入侵，仅靠社交工程与伪造合规文书就能造成大规模数据泄露，传统金融机构同样面临类似风险，但对初创金融科技公司的声誉冲击更为严重。
监管启示：政府域名验证机制亟需重构
此次事件揭示了一个被长期忽视的安全盲区：大多数金融机构在面对来自政府域名的合规请求时，缺乏进一步的身份验证步骤。Revolut在事后已封锁相关地址并报警，但事前未能识别伪造请求的行业现状值得关注。安全专家建议，金融机构应建立政府请求的双重验证机制——邮件域名验证与独立渠道电话确认并行，或引入数字签名验证系统，以避免真实政府域名被滥用为数据窃取工具。在数字银行渗透率快速提升的当下，合规流程的安全性已不再是一个单纯的法务问题，而是直接关系数千万用户数据安全的技术与运营议题。