英国金融科技公司 Revolut 确认，在收到从合法政府机构邮件域名发出的伪造请求后，向未经授权的第三方披露了敏感的客户信息。泄露数据包括客户身份与联系方式，如出生日期、邮寄地址、电子邮箱和电话号码，以及护照、驾照等身份证件副本，还可能包含验证自拍、账户对账单和交易记录。Revolut 发言人向 TechCrunch 证实，受影响客户数量有限，且未透露具体人数。

英国金融科技公司 Revolut 确认，在收到从合法政府机构电子邮件域名发出的欺诈性请求后，其向未授权第三方披露了敏感客户信息。

根据发送给受影响客户并经 TechCrunch 查阅的通知，泄露数据包含客户身份与联系方式，如出生日期、邮寄和电子邮件地址、电话号码，以及护照和驾照等身份证件复印件。公司通知中还称，数据可能也包括验证自拍、账户对账单和交易记录。

Revolut 发言人向 TechCrunch 确认，有“有限”数量的客户受到影响，公司已直接联系这些人，但未披露具体人数，也未说明事件是否限于特定市场，并拒绝透露涉及的政府机构。

发言人表示：“Revolut 最近发现一起复杂的外部冒充骗局，未授权第三方利用合法的政府机构域名邮箱提交了欺诈性信息请求。”

Revolut 告诉 TechCrunch，发现骗局后已屏蔽该邮箱，并警示了相关政府机构、执法部门和监管机构，补充说“Revolut 系统和客户资金未受影响”。

总部位于伦敦的 Revolut 全球拥有超 8000 万客户，在 30 多个国家作为银行运营。该公司最近将业务拓展至印度、墨西哥、法国和阿联酋等市场；本月早些时候，美国货币监理署有条件批准其在美设立国家银行，公司预计 2027 年上半年推出。

知名加密安全研究员 ZachXBT 周五深夜发帖谈及 Revolut 发给受影响客户的邮件，称事件似乎针对高净值用户。

此事发生时，Revolut 据称正考虑潜在公开上市，估值可能高达 2000 亿美元，高于 2025 年 11 月 750 亿美元的私有估值。该金融科技公司近几个月还在欧洲及全球扩大银行版图，获得了法国和英国的银行牌照。

多数人质疑 Revolut 将真实政府域名邮件视作授权依据的流程漏洞及透明度缺失，少数人认为若邮件经 DKIM 认证则责任在政府；分歧主轴在失误归属与流程设计。

认为失败在于把发件人域名当作授权依据而非验证权限

• 即便邮件来自真实政府域名并通过验证，也只能证明发送者身份，不证明请求合法。实务中人在时间压力下仅凭“执法”字样就放行，应改用公布渠道列表、自行查号回拨、核实案件引用、紧急仅给最小数据集。（较多人） > 域名只能证明谁发了信，不能证明发信人有权索要数据（@halilBB）

认为若邮件通过 DKIM 则 Revolut 无责，责任在政府

• 若攻击者能发出经 DKIM 认证的政府域名邮件，说明政府服务器被攻陷，这是政府过错；仅当依赖较弱的 SPF 且通过共享 IP 欺骗时责任才模糊。（少数人） > 若邮件经 DKIM 认证便不能责怪 Revolut，那是政府服务器被破（@sleepyguy）

质疑政府安全渠道缺失与生物特征保留

• 有人疑问政府为何未提供安全数据接收通道，该通道是否也被破；另有人质疑金融科技为何保留验证自拍等生物特征，以及依法保留声明的可信度。（较多人） > 即便触发是伪造的，政府为何没有安全渠道接收数据，这渠道是否也失守了（@hrpnk）

质疑 Revolut 透明度与通知可信度

• 公司未披露受影响人数与机构，被疑掩盖无能或保护高净值客户；用户无法验证“数据未泄露”声明；客服模板回复称绝对安全却在同一对话接收新闻；加之 Revolut 用同一地址发收据和垃圾邮件，导致违规通知难辨真伪。（较多人） > 缺乏透明是在保护被曝光的富豪还是隐藏自己的无能（@rawland）

政府数据请求本质是后门

• 政府索取敏感信息终归是一种后门，不存在仅好人能用的后门，暗示此类泄露风险固有。（少数人） > 政府索要隐私信息终究是后门，没有只让好人用的后门（@anonym29）

有价值的补充

• 链上比特币数据永久留存，泄露的地址-身份映射不会过期，比护照扫描更值得客户担忧（@halilBB）。
• 曾管理执法请求台的经验表明，唯一有效管控是按自查号码回拨机构，而非信任信头号码（@hndhyc0bdt）。
• 紧急请求应限定最小数据集，绝不提供完整 KYC 包加交易历史（@halilBB）。