Revolut外洩680名客戶資料後遭7.8億美元比特幣勒索

這家總部位於倫敦的數位銀行證實，曾向一名使用真實政府電郵域名的詐騙者交出客戶紀錄，導致約680個帳戶外洩，並招來10,000枚比特幣、價值約7.8億美元的勒索要求。

攻擊者並未入侵Revolut的應用程式或核心銀行系統。他們從一個託管於官方政府網域、並具備有效網域驗證憑證的電郵地址發出偽造資料調閱請求，Revolut遂透過其標準披露流程交出紀錄。該公司稱此事件為「精密的外部冒名詐騙」，並表示在偵測到後已封鎖該地址。

外洩資料幾乎涵蓋「認識你的客戶」審查的所有類別：全名、出生日期、職業、通訊及電郵地址、電話號碼、護照或駕駛執照副本，以及開戶時提交的面部影像。財務紀錄可能包括載有IBAN的帳戶對帳單、帳戶狀態、開戶日期、錢包參考編號、提款紀錄及完整交易歷史，其中包括比特幣相關活動。Revolut表示，生物辨識面部數據並未外洩，客戶資金亦未受影響。

10,000枚比特幣的贖金要求，按報導時比特幣價格近77,974美元計算，約值7.8億美元。攻擊者表示，在收到款項前將每日公開客戶資料。目前未有任何付款獲得證實。

真正關鍵的數字是ICO的調查

Revolut已主動向英國資訊專員辦公室（ICO）通報，該辦公室確認已展開正式調查。此次通報令事件落入英國《一般資料保護規則》（UK GDPR）的罰則框架，ICO可處以最高1,750萬英鎊或全球年營業額4%的罰款，以較高者為準。對於一家正籌備估值近2,000億美元的首次公開發行（IPO）的公司而言，按營業額百分比計算的這一項罰則才是真正具分量的。

ICO尚未公布時間表，亦未表明其認為此次外洩屬於系統失效還是流程失效。這一區別將決定最終結果。根據英國GDPR，監管機構評估控制者時，會審視其是否實施了適當的技術與組織措施——而一套將已驗證電郵視為足夠授權的披露流程，正是監管機構會審視的控制缺口。負責監管Revolut英國銀行牌照的金融行為監理總署（FCA），未就此公開評論。

此次外洩亦引出一個ICO尚未處理的問題：資料是否已離開英國。攻擊者指控Revolut將客戶資訊分享給其司法管轄區以外的國家，該公司未公開詳述這項指控。

檔案裡有誰

區塊鏈調查員ZachXBT在Telegram上表示，此次行動似乎針對高淨值人士。網上流傳的截圖顯示，攻擊者已公開屬於線上加密貨幣賭場Gamdom執行長Felix Römer的資料。已倒閉的Mt Gox交易所前執行長Mark Karpelès表示，他在9月12日凌晨5時25分收到Revolut警報，警告其資料可能面臨風險。Karpelès表示，無論該電郵看起來是否合法，Revolut都不應分享這些資訊。

一名化名「IAmNotAVillain」的威脅行為者聲稱，此次行動歷時六個月，涉及遭入侵的義大利執法管道，並聲稱握有147 GB的義大利方面資料。這些說法未經獨立核實。一張帶有該行為者浮水印的截圖似乎顯示，有標示為「Document Revolut」的壓縮檔，以及一個已解壓縮的資料夾，內含橫跨204個資料夾的688個檔案。單憑截圖無法確立其真實性或完整性。

資料類型的組合，正是令此次外洩影響持久的原因。一份檔案中同時具備經核實的身分、住家地址、IBAN及比特幣交易歷史，等於給予攻擊者一切所需，足以進行具說服力的銀行冒名詐騙、SIM卡盜換攻擊及針對加密貨幣的勒索。與密碼不同，護照掃描檔無法更換。

IPO前的代價

Revolut一直朝著估值約2,000億美元的公開上市邁進，遠高於其最近一輪私募估值750億美元。一項進行中的監管調查、一場活躍的勒索行動，以及每日公開資料的威脅，全都會落入上市所需的披露文件中。

直接財務曝險是有上限的。按英國GDPR最高端計算的罰款，相對於2,000億美元的目標估值而言將具實質影響，但並非生死攸關。更大的代價在於估值倍數。新型銀行（neobank）的估值取決於用戶增長與交叉銷售的經濟效益，而Revolut的加密貨幣交易與財富管理功能是這一故事的核心——正是攻擊者所鎖定的同一批高價值客群。若受影響客戶關閉帳戶，客戶流失將反映在承銷商用於定價的指標上。

這一結構性教訓的意義超出Revolut本身。已驗證電郵只能證明某封訊息通過了經網域授權的基礎設施，並不能證明寄件人是合法的，或該請求是合法的。對金融科技業而言，此事件凸顯了透過先前已登記的機構聯絡人進行獨立核實、案件編號驗證、高風險披露的雙重審批，以及防篡改稽核日誌的必要性。Revolut尚未說明有多少偽造請求得逞、哪個機構的網域遭濫用，或相關活動是否僅限於一個國家。

本文僅供參考，不構成投資建議。