Revolut 数据泄露事件：黑客公开客户身份信息与自拍照，索要巨额赎金
本周末，攻击者开始公开 Revolut 客户的护照照片和验证自拍照，以此要求支付赎金，并承诺若金融科技巨头不妥协，将每天发布新的泄露数据。
关键要点
- 威胁行为者已开始发布 Revolut 客户的身份证明文件和自拍照，并承诺在收到赎金前每日释放新数据。
- 据称泄露的材料包括护照、IBAN（国际银行账户号码）、提现记录以及完整的交易历史。
- Revolut 表示仅极少数客户受到影响，其系统和资金未受波及。
泄露事件公之于众
监控账号“International Cyber Digest”于 9 月 13 日发布消息，称该组织已停止等待付款，并开始向知名账户持有者倾倒文件。首批泄露内容包括身份证明文件和验证自拍照。同一账号表示，攻击者在公开数据之前曾通过电子邮件向 Revolut 提出信息需求。
这些文件属于网球运动员 Alexander Shevchenko 以及加密赌博网站 Gamdom 的首席执行官 Felix Römer。加密货币媒体报道的勒索金额为 10,000 枚比特币（BTC），按周一价格计算接近 7.8 亿美元，但也有其他报道称尚未确认具体金额。Revolut 拒绝就支付要求发表评论，其发言人表示，核心基础设施、数据库和客户账户均未受影响。
调查人员指出针对巨鲸的目标性攻击
调查员 ZachXBT 在 Telegram 上分享了客户通知。他补充了 Revolut 在其自身邮件中遗漏的几个类别，其中包括 IBAN、提现记录、职业信息以及完整的比特币交易历史。他认为此次泄露规模有限，但主要针对富裕的账户持有者。
Revolut 并未认可这一解读，也未表示加密资产持有者被单独针对。研究人员警告称，将护照图像与完整的交易历史配对，能够实现有针对性的网络钓鱼攻击，并启动从真实姓名开始的链上分析。身份证明文件和面部验证图像也增加了所有被命名者遭受冒充欺诈的风险。
泄露事件的起源解析
此次数据暴露源于一封从真实政府机构域名内创建的邮箱发出的电子邮件。该邮件拥有有效的认证信息，并通过了 Revolut 的安全检查。银行必须遵守官方机构的请求，而这封邮件看起来正是如此。
客户通知的副本于 9 月 12 日开始流传。当时，Revolut 将该事件描述为一起复杂的伪造外部诈骗，并表示已通知监管机构和执法部门。前 Mt. Gox 首席执行官 Mark Karpeles 当天发布了他自己的通知。该公司仍未说明有多少人受到影响。Revolut 在 30 个国家拥有超过 8,000 万客户，目前正在进行二次股份发售，估值接近 1,150 亿美元。
