Revolut确认数据泄露：伪造政府请求成新型攻击手段

事件概述

数字银行巨头Revolut近期确认发生一起客户数据泄露事件。与常见的系统入侵或钓鱼攻击不同，此次泄露的源头是攻击者伪造政府机构的官方数据请求，从而骗取了部分客户信息。

据Revolut声明，公司已第一时间通知受影响的客户，并向相关政府机构、执法部门以及金融监管机构进行了报告。这类跨部门的联动响应，反映出该事件被认定为具有一定严重性和法律层面的敏感性。

伪造政府请求：一种被低估的攻击面

所谓"伪造政府请求"（fake government requests），指的是攻击者假冒执法机关或监管部门的身份，通过看似合法的法律程序向企业索取用户数据。对于金融机构而言，配合政府和执法部门的数据调取请求是法律义务，这也使得这类请求往往会被优先处理、快速响应。

正是这种"合规惯性"被攻击者利用。相比暴力破解或漏洞利用，伪造官方请求成本更低，也更容易绕过技术防护——因为它攻击的不是系统，而是企业内部的审核流程与信任机制。近年来，多家科技和金融公司都曾遭遇类似的"紧急数据请求"（Emergency Data Request）欺诈，攻击者甚至会伪造被入侵的执法邮箱来增加可信度。

为什么金融机构是重灾区

金融机构掌握着大量高价值的个人身份信息（PII）和资金流水数据，天然成为攻击者的重点目标。同时，银行类企业需要频繁与监管、反洗钱、执法等多个部门交互，日常处理的合法数据请求量巨大，这为伪造请求提供了藏身的空间。

对于Revolut这类快速扩张的数字银行而言，业务遍及多个国家和司法管辖区，意味着它需要应对来自不同政府机构、以不同格式和语言发出的请求。审核标准的复杂性和跨境验证的困难，进一步放大了被冒充的风险。

企业应如何防范此类欺诈

应对伪造政府请求，单纯依靠技术手段并不够，更需要在流程层面建立严格的验证机制：

建立独立的回拨验证

收到数据请求后，不应直接信任请求邮件中的联系方式，而应通过官方公开渠道独立核实发件机构的真实性，避免落入攻击者设置的"闭环"。

引入多重审批与专职团队

对涉及敏感客户数据的调取请求，应设置多级审批，并由熟悉法律程序的专职团队处理，而非交由一线客服或运营人员判断。

记录与审计

对所有数据请求的处理过程留痕，便于事后追溯。此次Revolut能够快速定位受影响客户并通知监管，说明其具备一定的审计能力。

对用户的影响与建议

对于受影响的Revolut用户，需要警惕后续可能出现的针对性钓鱼攻击——攻击者一旦掌握部分真实信息，往往会以此为跳板发起更具迷惑性的社工诈骗。建议用户开启多重身份验证、关注账户异常活动，并对任何声称来自银行的"紧急验证"请求保持警惕。

结语

Revolut此次事件再次提醒行业：数据安全的防线不仅在服务器和代码里，也在人和流程中。当攻击者开始伪装成"政府"本身，企业需要重新审视那些被视为理所当然的信任链条。随着此类社工型攻击手法的成熟，如何在合规响应与安全审查之间取得平衡，将是所有数据密集型企业必须直面的课题。