Revolut 資料外洩風波：假政府郵件突破驗證，用戶護照、自拍照、交易紀錄全都露

你可能看過不少資料外洩的新聞，但這一次真的有點不一樣——攻擊者不是透過什麼高科技木馬或病毒，而是直接「假扮」政府機關發信，就把一堆敏感個資給要走了。Revolut 最近承認，他們的系統被一個看似來自政府單位的電子郵件給突破，導致部分用戶的護照影本、驗證自拍照，甚至完整的交易紀錄統統被看光。

這次資料外洩到底是怎麼發生的？

根據 Revolut 官方說法，事件的經過是這樣的：有不肖人士偽造了政府機關的電子郵件域名，向 Revolut 提交了「合法的」客戶資料調閱請求。這種請求在金融業其實很常見——政府單位或監理機關依法向銀行調閱客戶資訊，那是稀鬆平常的事。

問題在於，這封假郵件居然通過了 Revolut 的驗證檢查。也就是說，系統判斷這封信真的來自政府機關，於是就把資料交出去了。一直到後來 Revolut 發現不對勁，確認這根本是場骗局，才趕快封鎖那個地址並通知受影響的用戶。

哪些資料被外洩？

根據 Cointelegraph 的報導，這次被取得的資料包括：

• 護照影本
• 身份驗證用的自拍照
• 完整的交易紀錄

說實話，這三樣東西加起來，幾乎等於把你的金融身份全都複製出去了。護照影本可以用來冒名開戶，自拍照可能被用於更精密的深度偽造（deepfake）攻擊，而交易紀錄更是了解你財務狀況的最佳素材。

影響範圍有多大？

Revolut 對外表示，受影響的用戶數量「有限」，而且系統和用戶資金本身沒有受到影響區塊鏈技術層面的攻擊。知名區塊鏈安全研究者 ZachXBT 则在社群上猜測，這次攻擊可能是針對高淨值用戶而來，目標並不是一般小額存款者。

不過有趣的是，這起事件在 X（前 Twitter）上引發了另一波討論——許多用戶開始質疑：到底 KYC（了解你的客戶）這個制度是不是真的在保護我們？知名 DeFi 意見領袖 Marc Zeller 甚至直言：「一覺醒來，我的所有資料都被 Revolut 洩漏出去了。KYC 制度沒有帶來什麼實質好處，反而把很多人置於危險之中。」

這件事給我們什麼啟示？

老實說，這次事件最讓人不安的點，不只是資料被洩漏，而是「政府機關郵件」這個信任基礎居然可以被這樣轻易攻破。我們來拆解一下這件事的重點：

1. 電子郵件驗證機制的盲點

傳統的電子郵件驗證機制，像是 SPF、DKIM、DMARC，理論上可以防止域名偽造。但這次攻擊者選擇的是「合法政府機關的域名」，也就是說，他們可能已經取得了某種程度的域名控制權，或者使用了極度逼真的偽裝技術。這種攻擊手法，其實比一般的網路釣魚更難防範。

2. 金融機構的第三方請求把關

金融機構每天會收到大量來自政府機構的正式請求，如何在效率與安全之間取得平衡，是一個極大的挑戰。這次 Revolut 的案例顯示，即使有了驗證機制，仍然可能出現漏洞。

3. KYC 制度的副作用

這起事件再次把 KYC 制度的爭議擺上檯面。雖然 KYC 的初衷是為了防止洗錢和恐怖主義融資，但當這些資料被洩漏時，受害的卻是普通用戶。批評者認為，中心化機構收集了太多敏感資料，卻無法保證它們的安全。

身為用戶，我們能怎麼自保？

雖然我們沒辦法完全控制金融機構的資安水準，但還是有一些事情可以做的：

1. 定期檢查帳戶活動：雖然這次事件中資金沒有損失，但誰也說不準未來會怎樣。養成定期查看交易紀錄的習慣，有異常立刻反映。
2. 啟用雙重驗證（2FA）：如果你的 Revolut 帳戶還沒開啟 2FA，趕快去設定。別只用密碼，那太容易被破解了。
3. 小心任何「政府機關」的來信：即使是你熟悉的金融機構來信，收到涉及敏感資料的要求時，最好直接打電話確認，不要直接點擊郵件中的連結。
4. 考慮使用去中心化解決方案：如果你對傳統金融機構的資安不放心，或許可以研究一下去中心化金融（DeFi）——起碼你的資料不會被集中儲存在一個地方。

FAQ 常見問題

Revolut 資料外洩事件中，受影響的是哪些人？

Revolut 表示受影響的用戶數量有限，且已直接通知這些用戶。區塊鏈安全研究者 ZachXBT 猜測，攻擊目標可能是高淨值用戶，但 Revolut 並未公布具體受影響人數。

我的 Revolut 帳戶資金是否安全？

根據 Revolut 官方聲明，這次事件中系統和用戶資金並未受到影響。資料外洩僅限於部分用戶的個人文件，而非帳戶餘額或區塊鏈資產。

這次攻擊是怎麼繞過驗證的？

攻擊者使用了看起來像是來自合法政府機關的電子郵件域名，偽裝成政府單位的正式請求。Revolut 的驗證系統判斷這封信為「真實」，因此交付了資料。具體技術細節目前尚未公開。

我可以對 Revolut 提起訴訟嗎？

如果你確定是這次事件的受影響用戶，可以洽詢當地的消費者保護團體或法律專業人士，了解當地的申訴管道。歐盟地區的 GDPR 用戶尤其擁有較強的資料保護權利。

寫在最後

這起事件再次提醒我們，資安不是只靠「設定強密碼」就能解決的事。當你把資料交給任何一個中心化機構，你其實也在承擔他們可能遭受攻擊的風險。當然，這不是說我們要完全放棄傳統金融——畢竟便利性還是很重要的。

但你可以做得更多：多了解自己的權利、定期檢視帳戶安全、把雞蛋放在不同籃子裡。如果你對去中心化金融有興趣，想要少一點中間人、多一點自主控制，我們的網站上也有不少相關的分析文章和工具推薦，值得一看。

資料來源與利益揭露

• 主要來源：Cointelegraph（2026-09-13 09:27）
• 原文報導：Revolut says customer data exposed through fake government email
• 資料日期：2026-09-13
• 限制說明：本文部分資訊來自 Revolut 官方聲明與社群貼文，實際受影響人數與技術細節尚未完全公開。部分分析（如攻擊目標為高淨值用戶）為社群推測，並非 Revolut 官方確認。
• 利益揭露：本站與 Revolut 無任何合作關係，也未接受其廣告或聯盟行銷贊助。本文純屬中立分析，不構成投資建議。