扳手攻击：Revolut被钓鱼 向诈骗团伙泄露用户护照和自拍照等多种敏感数据

英国金融科技公司 Revolut 日前连发多条消息确认发生数据安全事件，攻击者冒充政府机构通过某个属于真实政府的域名邮箱向该公司发送虚假信息请求，Revolut 未经核实即按照要求向攻击者提供部分客户的敏感资料。

Revolut 强调这起事件属于复杂的外部冒充诈骗，Revolut 自身系统和客户资金没有受到任何影响，此次事件也不是攻击者直接通过网络攻击手段入侵 Revolut 的生产系统。



护照和自拍照都被泄露：

Revolut 向受影响客户发送的通知称，客户姓名、出生日期、住址、电子邮箱、电话号码、护照、驾照等信息被泄露给诈骗团伙。但部分报道还称，实际泄露的还包括用于身份验证的用户自拍照 (包含人脸)、客户对账单、IBAN、提现记录以及完整交易记录。

完整交易记录里则可能包含比特币交易信息，这些数据可以帮助攻击者拼凑出比较完整的个人身份和财务画像，进而对目标用户实施定向钓鱼、身份冒用或其他金融诈骗。

可能针对高净值用户发起扳手攻击：

目前可以确认攻击者的目标就是收集 Revolut 高净值客户的详细资料，攻击者并不能直接入侵客户账户窃取资金，但可以自己向目标发起扳手攻击，或者将资料卖给下游犯罪团伙发起扳手攻击。

所谓扳手攻击指的是：没有黑客能力的犯罪团伙直接购买价值 5 美元的扳手，然后跟踪目标并采取绑架、殴打、入室抢劫或死亡威胁等现实世界中的物理暴力手段，强迫受害者解锁加密货币钱包、交出私钥或转走数字资产的犯罪行为。

近年来扳手攻击非常多，经常有加密货币领域的 KOL 或相关公司的从业者遭到扳手攻击，此前某知名加密货币钱包的联合创始人就被绑架并切掉手指，以此威胁受害者家人交付加密货币赎金。

泄露资料后人身安全无法得到保证：

现实世界中的护照、身份证件以及人脸自拍照等信息泄露后是无法更换的，因此这类数据泄露后存在长期的身份冒用和定向诈骗风险。对已经泄露信息的客户来说接下来可能要时刻关注人身安全，因为说不好某个时候就会出现入室绑架等恶性事件。

目前 Revolut 并未透露具体有多少客户受影响、客户所在国家或地区、被冒用的政府机构名称、攻击者如何获得该机构的邮箱授权以及虚假请求持续多长时间。