据《金融时报》报道，英国信息专员办公室（ICO）已对金融科技公司Revolut展开调查。此前，Revolut通知680名客户，称网络犯罪分子利用一个合法政府电子邮件账户获取了敏感身份、银行和比特币相关记录。
事件经过
Revolut表示，一名未经授权的第三方使用一个属于合法政府机构域名的电子邮件账户，提交了欺诈性信息请求。Revolut最初将这些请求视为真实请求，随后发现这是一起冒充事件，并将其描述为“复杂的外部冒充诈骗”。
据TechCrunch查阅的客户通知，相关通信带有有效的域名认证凭证，使Revolut相信收到的是真实政府请求。Revolut未披露涉及哪个政府机构，也未解释第三方如何获得该政府邮箱的控制权。
Revolut称，在发现欺诈后已封锁相关地址，并联系了政府机构、执法部门、数据保护监管机构和金融监管机构。公司发言人坚持称，“Revolut系统和客户资金未受影响”。
可能泄露的数据
《金融时报》报道，Revolut已联系初步调查中确认的680人。Revolut公开仅称受影响群体“非常有限”，未发布官方数字。
多家媒体查阅的客户通知列出了可能被披露的个人信息类别，包括全名、出生日期、职业、家庭住址、电子邮件地址和电话号码。身份验证过程中提交的护照或驾照副本及自拍也在列。Revolut将此类验证图像与生物识别面部遥测信息区分开来，称后者不在此次涉及信息范围内。
财务记录可能包括IBAN、开户日期、账户状态、提款记录和完整交易历史。对于加密客户，相关材料包括账户记录中显示的比特币交易和钱包参考号。
通知并未说明私钥、账户密码或完整支付卡凭证已被提供给未授权请求者。通知列出的是可能被披露的记录类别，现有证据并不能确认每位受影响者所有列出的类别均已泄露。
当事人反应
前Mt. Gox首席执行官Mark Karpelès表示，Revolut于9月12日凌晨5时25分给他发送电子邮件，警告其信息可能已被泄露。Karpelès质疑，为何在请求来自经过验证的政府地址的情况下，Revolut仍释放了相关记录。他的批评是其对Revolut处理请求方式的评估，并非针对公司的监管结论。
勒索声称与调查
据《金融时报》和Recorded Future News报道，声称对事件负责的人威胁称，除非Revolut支付勒索要求，否则将公布客户信息。Revolut拒绝向Recorded Future News评论是否收到或正在回应勒索要求。
Recorded Future News报道，相关材料通过一个声称参与事件的Telegram账户传播。一名信息出现在材料中的客户未质疑其真实性，加密货币企业家Marc Zeller另行表示其信息已被泄露。攻击者说法部分仍未得到验证。该Telegram账户暗示政府邮箱来自意大利域名，但Recorded Future News表示无法确认该账户帖文中的所有细节。该媒体联系的意大利当局未作出回应，涉事Telegram账户随后被暂停。
据《金融时报》周一报道，英国信息专员办公室已在Revolut报告事件后展开调查。调查本身并不证明Revolut违反英国数据保护法。根据ICO指南，组织通常必须在知悉可报告的个人数据泄露后72小时内通知监管机构；如果事件对个人权利和自由构成高风险，则必须及时告知受影响者。Revolut称，已直接联系其认为受影响的客户。
背景
此案发生在Revolut获得英国完整银行运营许可数月之后。加密交易仍不在该存款保护结构内。据TechCrunch和Recorded Future News援引的公司数据，Revolut在全球服务超过8000万名客户。《金融时报》确认的680人是当前调查报道中的数字，除非Revolut或监管机构发布更新总数，否则不应视为最终数字。