Revolut 用户一个月内遭遇第二次数据事件
TREE NEWS 报道， Revolut 用户，包括数千名爱尔兰用户，在一个月内收到了第二次数据事件通知。与上次不同，本次泄露并非源于 Revolut 自身系统，而是来自其第三方合作方。曾为 Revolut 用户提供美股交易服务的美国券商 DriveWealth 确认，9 月 4 日至 5 日发生了一起由社会工程攻击引发的安全事件。
这一区别至关重要。第一次事件与 Revolut 自有环境相关，而第二次则落在交易执行与托管链条中的第三方供应商身上。对用户而言，结果相似——个人数据可能被暴露；但从治理与责任归属角度看，两者性质截然不同。
DriveWealth 究竟发生了什么
社会工程攻击是金融服务领域最不起眼却最有效的攻击手段之一。攻击者并不利用软件漏洞，而是操纵员工、客服或承包商，使其授予访问权限、重置凭证或泄露信息。DriveWealth 确认 9 月 4 日至 5 日的事件源于社工攻击，意味着防线是从人为流程而非代码层面被突破的。
时机颇为尴尬。Revolut 近年来从消费支付应用扩展为综合金融平台，新增了加密货币交易、股票与财富管理产品。这种扩张意味着持有客户数据的第三方数量成倍增加，每一家都成为 Revolut 安全边界的延伸。
为何不止关乎一家券商
- 供应商集中风险：金融科技平台越来越依赖少数 B2B 基础设施提供商处理交易、托管与 KYC。单一供应商出事，可能同时波及多个消费品牌。
- 披露疲劳：一个月内两次通知，对客户信任的侵蚀速度远超单次事件。
- 监管审查：在 GDPR 及类似制度下，数据控制者可能需为处理方的失误承担责任。爱尔兰与英国监管机构很可能追问供应商风险评估流程。
- 加密相关敞口：随着新型银行捆绑加密与股票业务，泄露事件越来越多地波及那些从未想过券商数据会与消费记录同处一处的用户。
金融科技安全的更大图景
针对金融基础设施的社工攻击日益精密，常结合语音钓鱼、冒充客服与凭证重放。对加密原生企业而言，风险更高：账户被入侵可能直接导致不可逆的资产转移，而传统银行尚有拒付与撤销机制。
DriveWealth 作为后端供应商的角色，也凸显了现代金融的结构性问题——客户信任的品牌，往往并非持有其数据的实体。事件发生后，用户必须在跨越司法辖区与企业边界的责任链中自行摸索。
前瞻视角
预计将出现三大趋势。第一，消费金融科技公司将收紧供应商尽职调查与合同安全条款。第二，欧盟与英国将出现更强烈的呼声，要求统一数据泄露通知时限。第三，去中心化身份与自托管模式的关注度将上升，以减少对中心化数据仓库的依赖——加密倡导者会借势推动这一叙事，尽管主流采用仍遥遥无期。
对 Revolut 而言，当务之急是止损与透明沟通。对整个行业而言，教训直白而冷酷：在互联互通的金融科技基础设施时代，你的安全水平取决于最薄弱的那个供应商。
