Revolut 攻击者泄露客户护照并要求付款

Revolut 于 9 月 12 日披露的数据泄露事件已升级为一场正在进行的勒索活动，攻击者在网上发布被盗客户的护照和验证自拍照，并威胁称在这家金融科技公司付款前每天都会发布更多数据，据 Cointelegraph 报道。此次泄露源于一封从真实政府机构域名下的邮箱地址发出的欺诈性数据请求，而非对 Revolut 系统的黑客攻击。该攻击利用了紧急数据请求协议中的一个已知漏洞，自 2021 年以来一直影响着主要科技平台；安全研究员 Brian Krebs 和 Bloomberg 记录了当时针对苹果、Meta 和 Discord 使用的类似手法。

攻击者发布客户文件并要求付款

获取敏感客户记录的攻击者已经开始在网上发布被盗的身份文件。据 Cointelegraph 报道，攻击者在 Telegram 上写道：“在 Revolut 为泄露客户数据付款之前，我们每天都会开始发布越来越多的数据。”网络情报账号 International Cyber Digest 在 X 上报告称，攻击者威胁要发布“更多消息、数据以及有关 Revolut 团队运作方式的洞见”。

Revolut 向 TechCrunch 确认，泄露的数据包括全名、出生日期、职业、邮政地址和邮箱地址、电话号码、护照和驾照副本以及验证自拍照，还有账户对账单、IBAN 和完整交易历史，包括比特币活动记录。部分受影响客户已经公开确认自己的身份，其中包括前 Mt. Gox 首席执行官 Mark Karpelès，他上周表示自己是收到通知的人之一。

Revolut 表示，其系统和客户资金未受影响，且受到影响的客户数量“有限”。该公司尚未确认泄露材料的真实性、攻击者身份、任何赎金金额、是否会支付赎金，或有多少人受到影响。

Revolut 数据泄露使用了欺诈性政府邮箱请求

攻击者从合法政府机构域名下的一个邮箱地址发送了获取客户记录的请求。由于该通信通过了该机构的真实基础设施，因此通过了内部检查。Revolut 后来确定发件人未经授权，封锁了该地址，并通知了该机构、执法部门、数据保护机构和金融监管机构。该公司尚未透露涉事机构名称，也未说明该账户是如何被使用的。

这种手法被称为欺诈性紧急数据请求，或假 EDR。它利用了这样一个事实：验证请求的域名并不能说明实际输入请求的人是谁。紧急渠道是为速度而建立的，通常会声称存在迫在眉睫的威胁，通常无需法院命令，并要求在数小时内作出回应。

假紧急数据请求瞄准受监管金融公司

假 EDR 攻击手法在最大的科技平台中有着有据可查的历史。Brian Krebs 和 Bloomberg 记录称，2021 年，与 Recursion Team 和 Lapsus$ 组织有关联的攻击者利用从被黑的警察和政府账户发送的伪造紧急请求，从苹果、Meta 和 Discord 获取用户数据。FBI 于 2024 年 11 月发布警报，警告被黑警察邮箱和提交给美国公司的欺诈性数据请求数量激增。

仅美国就大约有 18,000 个执法辖区，每个辖区都有一组邮箱账户。由于每家公司都是单独进行验证，同一个欺诈性请求者可以接触多家公司，而每家公司看到的都是没有历史记录的首次联系。此次事件发生之际，Revolut 在获得全国性银行的初步授权后，正在拓展美国银行业务和稳定币业务。

常见问题

Revolut 的攻击者在 9 月 12 日做了什么？

Revolut 于 9 月 12 日披露了一起数据泄露事件，该事件已升级为一场勒索活动。攻击者通过欺诈性政府邮箱请求获取了客户记录，目前正在网上发布被盗护照和验证自拍照，并威胁称在 Revolut 付款前每天都会发布更多数据。

攻击者如何访问 Revolut 的客户数据？

攻击者从合法政府机构域名下的一个邮箱地址发送了欺诈性数据请求。由于该请求通过了该机构的真实基础设施，因此通过了 Revolut 的内部检查，而不是通过黑客攻击 Revolut 系统实现的。Revolut 后来确定发件人未经授权，并通知了有关部门。

什么是假紧急数据请求攻击？

假紧急数据请求（EDR）是一种攻击者利用被入侵的政府或执法部门邮箱账户向公司请求客户数据的技术。该方法利用了为速度而建立的紧急渠道，通常无需法院命令，并要求在数小时内作出回应。2021 年，苹果、Meta 和 Discord 就曾遭到类似攻击。