Revolut 遭遇網攻事件持續升級，黑客於周末開始在網上公開客戶護照副本及身份驗證自拍照，並開出條件要求支付贖金，聲稱會「每日爆料」，直至這家金融科技公司就範為止。
重點摘要：
- 黑客已開始張貼 Revolut 客戶身份證明文件及自拍照，揚言如不付贖金將每日再公開新一批資料。
- 外洩內容據報包括護照、IBAN、提款紀錄及完整交易歷史。
- Revolut 表示，受影響客戶數目極有限，其核心系統及資金並未遭入侵。
Revolut 數據洩露全面曝光
網安監察帳戶 International Cyber Digest 於 9 月 13 日在 X 發文指，涉事黑客已放棄等待贖金，開始向外洩露知名客戶資料。首批檔案包括身份證明文件及 KYC 驗證自拍照。該帳戶同時指，黑客曾在公開前透過電郵向 Revolut 提出一系列要求。
首輪洩露文件的持有人包括網球選手 Alexander Shevchenko 及加密賭博平台 Gamdom 行政總裁 Felix Römer。多間加密媒體 報道指，黑客開價 10,000 枚 比特幣 (BTC)，按周一價格約值 7.8 億美元，惟亦有報道指實際金額尚未獲確認。
Revolut 對是否收到贖金要求 拒絕置評，發言人僅表示公司核心基建、資料庫及客戶賬戶均未受影響。
延伸閱讀： XRP ETF 連續 9 周錄資金流入 規模創 17 億美元新高
ZachXBT：黑客瞄準「巨鯨」客戶
鏈上調查員 ZachXBT 於 Telegram 流傳 Revolut 發出的客戶通知，並在後續 補充指，實際外洩資料種類較官方電郵所列為多，包括 IBAN、提款紀錄、職業資料，以及完整比特幣交易歷史等。他判斷是次事故規模不算巨大，但目標明顯集中高資產客戶。
Revolut 並未認同上述判斷，也未承認加密資產持有人是刻意被挑選的目標。不過，研究人員 警告，護照影像一旦與完整交易紀錄綁定，足以讓攻擊者針對特定人士發動魚目混珠式釣魚攻擊，並從真實姓名出發進行更深入鏈上分析。同時，身份證明文件及面容識別影像流出，也大幅提高被人盜用身份行騙的風險。
Revolut 資料外洩源頭曝光
今次事件追溯至一封看似由官方部門發出的電郵。該郵箱是在某政府機構真實網域之下新設的帳戶，技術上具備完整驗證紀錄，因而順利通過 Revolut 的安全檢查。由於銀行在法規上必須配合官方機構的正式索取資料要求，該郵件在形式上完全符合「官方查詢」的格式。
Revolut 於 9 月 12 日起，相關客戶通知開始被人 轉載，公司將事件定性為「外部高級偽冒攻擊」，並指已向監管機構及執法部門通報。
已倒閉交易所 Mt. Gox 前行政總裁 Mark Karpelès 同日亦公開自己收到的通知。Revolut 至今仍未披露受影響客戶數目。該公司現時在超過 30 個國家合共擁有逾 8,000 萬名客戶，並正進行一輪第二市場股份出售，估值約 1,150 億美元。
