Revolut 称，一名未经授权的发送者使用了政府机构的官方电子邮件域名。
披露的记录包括身份证明文件、验证自拍和完整交易历史。
比特币钱包参考编号出现在客户服务通知中列出的账户对账单中。
ZachXBT 称该事件规模有限，可能针对高净值用户。
根据链上调查员 ZachXBT 在 Telegram 上分享的 Revolut 客户通知，该请求来自一个使用政府机构官方域名的未经授权电子邮件账户。该消息通过了域名身份验证检查，Revolut 称其在提供信息时相信该请求是真实的。
该通知未点名该机构，也未说明未经授权的发送者如何获得其电子邮件域名的访问权限。它也没有给出请求或披露的日期。ZachXBT 称，多名客户在 9 月 11 日星期五收到了警报电子邮件，但他和他的帖子中显示的通知部分均未给出受影响用户的确认数量。
您可能还喜欢：Revolut 在获得 OCC 有条件批准后计划设立美国银行和稳定币
虚假请求如何到达 Revolut
Revolut 在其对事件的描述中表示，该电子邮件看起来是合法的政府请求，因为它携带了有效的域名身份验证凭据。该请求是由使用机构官方电子邮件域名的未经授权账户直接发送的，而不是从看起来相似的地址发送的。
“由于通信携带了有效的域名身份验证凭据，因此是在合理相信其为真实政府机构请求的情况下予以履行的，”该通知称。
措辞描述了响应欺骗性请求而进行的未经授权披露。该通知并未说明入侵者进入了 Revolut 的系统、访问了客户账户或提取了资金。它也没有指明发送请求的人员，也未说明该机构是否调查了其电子邮件账户的使用情况。
ZachXBT 将该事件描述为规模可能有限，并表示其似乎针对高净值用户。Revolut 的通知（如截图所示）并未确认受影响群体的规模或客户的选择方式。
Revolut 称其披露的内容
Revolut 列出的身份详细信息包括客户的姓名、出生日期和职业。联系信息包括邮政地址、电子邮件地址和电话号码。
该请求还导致披露了身份证明文件的副本，例如护照或驾驶执照，以及客户为身份检查提供的自拍。Revolut 将这些图像与生物识别面部遥测数据区分开来，并表示后者未涉及其中。
账户对账单构成了披露材料的另一部分。根据通知，对账单包括 IBAN（国际银行账号）、账户状态、开户日期和比特币钱包参考编号。提款记录和完整交易历史，包括比特币交易，也一并提供。
该通知列出了可能已披露的信息类别；它并未确定每位受影响客户都拥有每种类型的记录。它也没有说明是否包含了钱包私钥、账户密码或完整的支付卡详细信息。比特币交易历史对加密货币用户特别相关，因为通知将其与姓名和其他账户记录一起列在发送给未经授权请求者的信息中。
根据 8 月份的公司公告，Revolut 在全球拥有超过 8000 万客户。该客户数字描述的是其业务规模，而非受此次披露影响的人数。
这些记录对受影响客户可能意味着什么
英国信息专员办公室表示，个人数据泄露的可能后果包括身份盗窃、欺诈和财务损失。其泄露指南要求评估所涉及的信息以及对个人可能造成的伤害；它并未确定在 Revolut 事件中是否有人遭受了这些后果。
对于身份证明文件和交易记录均被披露的客户，该通知表明接收方可能获得了该人财务的详细账户。ZachXBT 关于高净值用户成为目标的说法在所示材料中未得到 Revolut 的证实，且其中未记录后续对这些记录的滥用情况。
监管机构的指南还表示，组织必须在意识到某些个人数据泄露后的 72 小时内（在可行的情况下）进行报告，并在对个人权利和自由的风险较高时，毫不拖延地通知个人。截图并未说明 Revolut 是否已通知监管机构，也未说明公司何时首次得知该未经授权请求。
在其美国安全指南中，Revolut 告诉客户使用应用内支持聊天来检查可疑联系是否真实。该公司表示，不会要求客户通过电话分享验证或安全代码。ZachXBT 显示的客户服务通知并未报告此类代码已被披露。
Revolut 的美国和加密货币业务
该事件发生在 Revolut 扩展其银行和数字资产服务期间。8 月 26 日，该公司开始向丹麦、波兰和葡萄牙的部分客户提供其欧元支持的 EURR 稳定币，并计划在欧洲其他地区可用，此前 crypto.news 曾报道过。稳定币的推出与客户记录披露无关。
Revolut 的美国计划为美国读者提供了背景信息，尽管该通知并未指明任何受影响客户位于美国。9 月 3 日，该公司获得了货币监理署（OCC）对美国银行的有条件批准。其拟议的位于康涅狄格州斯坦福的银行将获得约 9500 万美元的初始资本，如果获得剩余批准，可能在 2027 年开业。
目前，根据此前的报道，Revolut 通过 Lead Bank 为美国客户提供银行服务。拟议的国家银行在开业前仍需要联邦存款保险公司（FDIC）的存款保险、联邦储备委员会的批准以及 OCC 的最终授权。