一場假調查，如何讓Revolut交出680名客戶資料

（圖片說明）倫敦金絲雀碼頭Revolut全球總部大樓外觀，現代化玻璃幕牆建築體現這家歐洲領先金融科技公司的規模與國際化定位。文章所討論的客戶資料外洩並非源於公司核心系統遭入侵，而是透過既有的政府資料請求程序流出。

680名客戶的資料，經銀行程序流出

2026年9月，歐洲金融科技公司Revolut承認，部分客戶的個人資料被交給未獲授權的第三方，意大利政府其後披露受影響客戶共680人。攻擊者利用遭到控制的意大利政府電郵帳戶，冒充執法人員提出資料要求。Revolut表示，公司自身的系統沒有遭到入侵，客戶資金亦未受影響，但部分客戶資訊確實經由銀行處理政府資料請求的程序，流向了冒充調查人員的人。

這宗事件最值得調查的地方，是按照Revolut的說法，銀行並未因核心系統遭到突破而失去資料。攻擊者利用了政府機構的通訊身分，以及銀行依法配合調查的既有程序，使一項本應受到嚴格核驗的資料披露行為，最終服務於沒有法律授權的人。

9月18日，意大利內政部政務次長Wanda Ferro在國會答詢時表示，意大利國家網絡安全局（Agenzia per la Cybersicurezza Nazionale，ACN）於9月12日收到Revolut關於可能發生網絡安全事故的通報，其技術團隊透過郵件樣本分析，確認一個歸屬雷焦卡拉布里亞省長公署的認證電郵帳戶遭到控制。省長公署是意大利內政部派駐地方的政府機關。她同時披露，Revolut於9月15日向ACN進一步確認資料外洩，涉及680名客戶，其中8人為意大利客戶。

10月7日，Revolut西歐區行政總裁Béatrice Cossa-Dumurgier接受法國BFM電視訪問時進一步表示，受影響客戶中有55人位於法國。公司已向相關客戶提供協助，如有必要更換身分證件，Revolut會承擔相關費用。她表示，公司不會支付贖金，並重申Revolut自身的系統未遭入侵。

意大利政府與Revolut管理層披露的資料，為事件建立了基本範圍。680名客戶分布於不同國家，至少包括意大利客戶及位於法國的客戶；但截至10月10日，尚未看到一份由監管機構公布、完整列出全部受影響國家及資料類別的事故報告。

對金融機構而言，680人不是一個龐大的數字。Revolut在歐洲擁有數以千萬計的客戶，這宗事件涉及的人數只佔其客戶基礎的一小部分。然而，資料取得方式揭示的問題，可能影響所有需要處理跨境司法要求的銀行。

銀行有法律義務協助合法調查，也有責任保護客戶的個人與金融資料。兩項義務需要在同一套程序內得到保障。當一封具有政府身分外觀的郵件足以引發資料披露，最需要重新檢查的便是銀行如何核實要求的來源、法律效力及接收者身分。

（圖片說明）2018年1月拍攝的Revolut卡片。這宗事件中，客戶資料經由銀行處理政府請求的程序流向冒充執法人員者；Revolut表示，其系統未遭入侵，客戶資金未受影響。

政府郵箱為何取得銀行信任

意大利使用一套稱為Posta Elettronica Certificata（PEC）的認證電子郵件制度。這套制度廣泛應用於政府、企業與專業機構之間的正式通訊，透過認證寄送及接收紀錄，為電子文件提供具有法律效力的送達證明。

PEC在意大利行政與商業生活中具有重要地位。政府部門可以利用它傳送正式通知，企業也可藉此處理具有法律效力的往來文件。對跨國銀行而言，來自真實政府網域、經正式通訊渠道送達的資料要求，自然比一般私人郵件更容易引起法務與合規部門重視。這套制度能夠協助確認郵件的傳送過程，但無法單獨證明使用帳戶的人擁有合法調查權力。

Revolut事件涉及一個歸屬意大利雷焦卡拉布里亞省長公署的認證電郵地址。9月17日，意大利參議院公布第4-03368號書面質詢，議員引用媒體報道及流傳的郵件截圖，要求政府說明攻擊者如何利用相關郵箱冒充司法調查人員，以及Revolut為何接受這些要求。

質詢指出，冒充者據報援引米蘭檢察機關的調查及歐洲跨境司法合作規則，要求銀行提供客戶資訊。文件還提及，部分郵件往來可能持續數月，攻擊者聲稱取得大量機密資料。

但國會質詢記錄的是議員提出的問題及其引用的材料，不能直接視為政府已經核實全部內容。尤其是郵件往來持續時間、攻擊者聲稱取得的147GB資料，以及個別客戶被選中的原因，仍需要原始通訊紀錄、技術鑑證和調查機關的正式結論支持。

意大利國家網絡安全局的技術分析則提供了更具體的證據。按照Wanda Ferro的答詢，CSIRT Italia分析了Revolut提供的一份涉事郵件樣本，確認相關政府帳戶確實遭到控制。這使事件與普通偽造寄件地址的電郵詐騙有所區別：攻擊者利用的通訊資源與真實政府機構存在關聯。

9月30日，意大利內政部長Matteo Piantedosi在國會表示，涉事PEC郵箱名為「entilocali」，歸屬雷焦卡拉布里亞省長公署，此前未曾使用。他批評銀行原本可以透過基本核查，發現資料要求與發出機關之間的不一致，以及所要求資料的數量和類型存在疑點。Revolut發言人拒絕評論部長的說法，其西歐區行政總裁則表示，政府機構有時可能成為整體安全體系中的薄弱環節。

雙方的說法涉及兩項需要分別調查的責任。政府有義務保護其通訊帳戶及認證系統，銀行則需要確認一項要求是否來自真正有權提出要求的機關。

目前尚無充分公開證據，可以確定攻擊者最初如何取得帳戶控制權、政府何時發現異常，以及銀行在每次資料交付前究竟執行了哪些核驗程序。責任的最終分配，需要等待更完整的調查結果。

（圖片說明）意大利雷焦卡拉布里亞省長公署外觀。意大利政府確認，攻擊者利用的認證電郵帳戶歸屬該公署。這張資料照片呈現涉事機關所在地，並非事故調查現場。

一份調查令需要甚麼授權

攻擊者據報利用了歐洲刑事司法合作制度的權威外觀。

歐盟《2014/41/EU指令》建立了歐洲調查令（European Investigation Order，EIO）制度，讓成員國主管司法機關在刑事調查中，能夠請求另一成員國採取特定取證措施。這項制度旨在提高跨境調查效率，同時保留司法審查、必要性與比例原則，以及相關當事人的權利保障。

按照指令，歐洲調查令必須由具備權限的司法機關簽發，或依規定經司法機關確認。文件需要列明發出機關、調查目的、案件背景、所要求的措施及證據類別。執行國主管機關則依據本國法律與歐盟制度處理相關要求。

因此，一封附有正式文件的政府電郵，即使經過真實政府郵件系統傳送，也不會自動取得跨境司法取證的法律效力。郵件來源、簽發權限、司法確認、執行程序及資料交付範圍，都有各自的法律要求。

這個區別在Revolut事件中尤其重要。意大利國會質詢提及的冒充要求，據報使用了歐洲調查令的名義，但目前公開資料尚未完整披露相關文件。外界因此無法確認，攻擊者究竟偽造了哪一種法定格式、是否使用真實案件編號、是否冒用司法簽署，以及Revolut是根據何種具體法律程序決定交付資料。

對一家跨境銀行而言，合法調查要求的處理通常涉及多個環節。法務人員需要判斷提出要求的機關是否具有權限，合規人員需要確認資料類別與調查範圍是否相稱，資訊安全及資料管理人員則負責確保檔案透過適當渠道交付。

如果銀行只核對寄件地址及文件外觀，卻沒有透過獨立渠道確認發出機關的身分，一個真實的政府郵箱便可能成為冒充者最有說服力的工具。這也使一項原本用來保障跨境司法合作的制度，面臨新的技術風險。

歐洲調查令依賴成員國司法機關之間的相互信任，但相互信任需要建立在可核實的法律身分與程序之上。當通訊渠道遭到控制，金融機構仍須有能力區分政府帳戶的持有人、實際發件者與具有法定權力的司法機關。Revolut是否具備這套能力，以及相關程序在哪個環節失效，目前仍有待調查。

資料外洩後，風險留給誰

Revolut強調，銀行系統未遭入侵，客戶資金未受影響。這項說明對判斷事故性質十分重要，因為目前沒有公開證據顯示攻擊者直接控制了客戶帳戶或完成未經授權的資金轉移。

但金融資料的價值並不只體現在帳戶餘額。銀行在開戶及持續合規過程中，通常需要保存客戶姓名、住址、身分文件、帳戶資訊及部分交易紀錄。這些資料原本用於確認客戶身分、防止洗錢、處理交易及回應合法調查，一旦被未獲授權者取得，便可能被用於身分冒用、針對性詐騙或其他犯罪活動。

本案尤其需要區分已確認的外洩事實與尚未核實的資料範圍。Revolut已承認部分客戶個人資料遭到不當披露。媒體報道中涉及住址、身分文件及部分金融活動紀錄的內容，仍須結合更完整的事故通知或監管文件，才能確認各類資料的實際覆蓋範圍，以及不同客戶受到的影響。

對受影響客戶而言，資料外洩可能帶來長期後果。銀行可以停用帳戶登入憑證、更新安全措施，也可以協助客戶更換身分證件；但住址、歷史交易紀錄及已被複製的文件，未必能夠透過一次技術操作全部收回。

Revolut承諾承擔必要的身分證件更換費用，屬於事故後的具體補救措施。它能夠減輕部分客戶的直接支出，但不能據此推定外洩資料已被刪除，或所有後續風險已經解除。

對銀行而言，事故處理可能以系統檢查、客戶通知及監管報告告一段落；對個人而言，資料遭到複製後所產生的不確定性，可能持續更長時間。這種時間差，正是金融資料保護與一般系統故障處理之間的重要差別。

（圖片說明）2022年10月22日，Matteo Piantedosi在羅馬奎里納萊宮出席政府宣誓就職儀式。這位意大利內政部長其後就Revolut事件批評銀行未充分核實資料要求；圖為就職時的資料照片。

72小時通報規則，從哪一天開始計算

Revolut事件涉及另一項需要查明的法律問題：銀行在發現個人資料被未獲授權者取得後，是否按照歐盟《一般資料保護規則》（General Data Protection Regulation，GDPR）履行了事故通報義務？

GDPR第33條規定，資料控制者在知悉個人資料外洩事件後，須在沒有不當延誤的情況下，並盡可能於72小時內通知主管監管機關，除非事故不太可能對自然人的權利與自由造成風險。若超過72小時，通知應附上延遲原因。即使事故符合毋須通報的例外，控制者仍須依規定記錄事故。

第34條另有一項要求：如果資料外洩可能對個人的權利與自由造成高度風險，資料控制者原則上必須在沒有不當延誤的情況下通知受影響人士，除非符合條文列明的例外條件。

這兩項規定處理的是不同責任。第33條涉及向監管機關通報，第34條涉及向個人通報。兩者的法律門檻不同，也不能將72小時理解為所有客戶都必須在事故發生後72小時內收到通知。

對Revolut事件而言，最關鍵的時間線尚未完整公開。意大利政府披露，ACN於9月12日收到Revolut關於可能發生網絡安全事故的通報；9月15日，Revolut向ACN進一步確認資料外洩，並說明受影響客戶人數。這是兩次對外通報的紀錄，不能直接把後一個日期視為公司首次知悉事故的時點。

GDPR所規定的72小時，原則上以資料控制者知悉個人資料外洩為起點，並非必然從攻擊者第一次登入政府郵箱、第一封假調查要求送達，或資料首次被交付的日期開始計算。歐洲資料保護委員會的指引將「知悉」解釋為：機構已有合理程度的確信，知道安全事故已經發生，並危及個人資料。

因此，判斷通報是否及時，需要比較銀行取得這種確信的時間，以及向主管資料保護機關通報的時間。ACN是網絡安全機關，向它通報的紀錄不能單獨證明Revolut已完成GDPR第33條要求的通知；9月12日至15日相隔三天，也不能直接用來判定公司合規或違規。

目前尚未取得Revolut向主管資料保護機關提交的原始事故通知，也未見完整的內部事件時間表。因此，不能僅憑這兩個公開日期，認定公司已遵守或違反GDPR的72小時規定。

Revolut在歐洲的銀行業務涉及立陶宛等司法管轄區，還須釐清涉事資料究竟由哪一家法人控制、適用哪一套跨境監管安排，以及哪個資料保護機關具有主要管轄權。英國客戶如涉及獨立的英國資料控制者，還可能適用英國GDPR及當地監管要求，不能把所有客戶的法律關係簡化成同一個歐盟監管程序。

這宗事件的通報是否及時，最終需要依據資料控制者的法律身分、事故知悉時間、實際通報紀錄及風險評估文件作出判斷。

政府與銀行，各自需要回答甚麼

意大利政府與Revolut之間的公開分歧，涉及金融資料保護制度中的一項基本責任：當政府機構的通訊渠道遭到犯罪者利用，銀行是否仍須對資料交付的合法性承擔獨立核驗義務？

9月30日，意大利內政部長Matteo Piantedosi批評Revolut未能充分核實涉事資料要求，認為基本的審慎檢查原本可能發現問題。Revolut發言人拒絕評論部長的說法，但其管理層指出，政府機構也可能成為整個體系的薄弱環節。路透社10月7日的報道記錄了雙方這些不同的公開立場。

政府的批評有其法律與程序背景。銀行持有客戶資料，不能僅因有人自稱執法人員便予以交付；要求必須具有適當的法律依據，所索取的資料亦須符合相關司法程序與適用的資料保護規定。

但政府機構同樣負有安全責任。當一套官方認證郵件制度被公共機構用於正式通訊，接收方自然會賦予其一定程度的可信度。如果政府沒有及時發現帳戶異常，或者缺乏有效的權限管理與異常活動監測，犯罪者便可能利用這種信任進行跨機構欺騙。

這使事故責任可能同時涉及政府通訊安全、銀行法律核驗、資料交付程序，以及攻擊者自身的犯罪行為。不同責任之間並不存在必然的互相排斥關係。

按照GDPR第5條與第32條的原則，處理個人資料的機構須確保適當的安全性，並根據處理活動的風險採取相稱的技術與組織措施。第5條同時要求資料處理具有合法性、公平性與透明度，並遵守資料最小化原則。即使資料交付的目的表面上是配合刑事調查，銀行仍須確認披露具有適當法律基礎，且資料範圍沒有超出必要程度。

不過，GDPR是否遭到違反、由哪一家Revolut法人承擔相關責任，以及是否需要採取行政處分，均屬主管監管機關需要依據具體事實判斷的問題。現有資料尚不足以支持對任何一方作出違法結論。

對調查而言，真正需要取得的是一條完整的決策紀錄：政府帳戶何時遭到控制、假調查要求何時送達、銀行何時核實文件、哪個部門批准資料交付、資料何時離開銀行，以及事故最終由誰發現。

這條時間線若能建立，才有可能判斷安全漏洞究竟集中在哪個環節，以及哪些防護措施原本有機會阻止事件發生。

（圖片說明）意大利眾議院議場內部場景，顯示國會質詢與監督機制運作。內政部政務次長Wanda Ferro曾在此就Revolut事件及受影響的680名客戶作出答詢，確認國家網絡安全局已分析涉事郵件樣本。

銀行如何核實政府身分

金融機構每天處理大量具有不同法律性質的外部要求，包括法院命令、監管查詢、反洗錢調查、稅務資料要求及刑事司法合作。這些程序通常有明確期限，有些還受到保密義務約束，銀行不能簡單地以拒絕提供資料來消除風險。

Revolut事件提出的問題，是在保留合法調查效率的同時，銀行能否建立一套不依賴單一電郵地址或文件外觀的身分核驗程序。

首先需要區分通訊身分與法律權限。認證郵件紀錄可以協助確認通訊渠道和送達情況，但提出要求的人是否具有調查權、相關文件是否經合法簽發，以及接收資料的機關是否具有適當資格，仍須依據司法程序確認。

歐盟《歐洲調查令指令》第7條對文件真偽與傳送問題提供了一項重要制度安排：涉及調查令傳送或真實性的困難，可以由發出機關與執行機關直接聯繫處理，必要時亦可透過成員國中央機關協助。這項規定為跨境司法核驗提供了正式渠道。它並不等於要求銀行在所有案件中直接聯絡外國法官，但顯示跨境司法合作本身已有處理文件真偽問題的法律程序。

銀行可以在符合當地法律的前提下，建立與主管機關核實調查要求的固定程序。當要求涉及大量身分證件、交易紀錄或其他高度敏感資料時，核驗程度應與可能造成的損害相稱。獨立查證機關聯絡方式、確認司法文件編號、覆核法律依據及交付範圍，均是值得檢視的控制措施。

資料交付也需要留下可追溯的紀錄。哪些欄位被提取、誰批准提取、檔案經由何種渠道送達、接收者如何完成身分確認，以及交付後如何保存憑證，都會影響事故發生後能否重建事實。

在跨國金融集團中，這項工作還涉及組織結構。銀行可能在一個國家持有牌照，在另一個國家設立客戶服務或合規團隊，並透過集中化系統處理多國政府的資料要求。法律主體、資料控制者、實際審批人員與技術操作人員未必位於同一司法管轄區。

集中處理可以提高效率，但如果某個中央團隊將官方郵箱視為充分的身分證明，錯誤便可能跨越多個國家擴散。

Revolut事件是否存在這類集中化程序問題，目前沒有足夠公開資料可以確認。對其他跨境銀行而言，這宗事故則提供了一項具體的檢查方向：政府資料要求的核驗標準，是否與銀行對客戶登入、資金轉帳及高風險交易採用的安全標準同樣嚴格？

銀行通常不會只憑一封電郵，便允許陌生人控制客戶資金。當一項要求涉及可能被用於冒名、詐騙或追蹤個人財務活動的資料時，也應有相稱的獨立核驗程序。

跨境金融資料的責任邊界

Revolut事件發生在歐洲，卻具有全球金融業共同面對的制度特徵。

跨境銀行需要在不同國家的法律之間處理資料要求。政府希望金融機構能夠迅速協助調查洗錢、詐騙、逃稅及其他犯罪；銀行則必須同時履行金融保密、個人資料保護及客戶權益保障義務。

在歐盟內部，歐洲調查令、GDPR及各國刑事程序法構成不同層面的法律安排。前者處理特定跨境刑事取證程序，後者規範個人資料處理及保護，而銀行實際交付資料時，還可能需要遵守所在地法律、金融監管要求及相關司法決定。這些制度各有目的，卻必須在具體案件中共同運作。

美國、英國及其他金融中心同樣存在類似問題，只是司法授權、資料保護和金融機構披露義務的法律依據有所不同。銀行不能把某一司法管轄區的政府資料要求程序，直接當作全球通用的法律標準。

金融業過去投入大量資源保護帳戶登入、支付授權、交易監測及核心系統安全。隨著跨境資料請求日益電子化，另一項安全工作也需要得到同等重視：確認提出要求的公共機構，以及實際使用該機構身分的人，是否具有合法取得資料的權力。

這項工作與傳統網絡安全密切相關，但又超出一般防火牆、惡意程式偵測或帳戶密碼管理的範圍。它需要法務、合規、資訊安全及政府機關共同參與。銀行必須相信法律程序，同時具備核驗法律程序的能力。

對政府而言，認證郵件和電子司法合作制度也不能只追求文件傳送速度。公共機構需要確保帳戶權限、使用者身分、異常操作與文件簽發紀錄可以被可靠地管理及追溯。否則，政府通訊系統本來希望建立的公信力，便可能被攻擊者轉化成欺騙金融機構的資源。

（圖片說明）Revolut西歐區行政總裁Béatrice Cossa-Dumurgier肖像。她在接受法國媒體訪問時確認受影響客戶中有55人位於法國，公司已提供協助並表示不會支付贖金，同時重申自身系統未遭入侵。

680名客戶之後，還有哪些問題沒有答案

截至2026年10月10日，Revolut事件仍有多項關鍵事實未見完整公開紀錄。

攻擊者究竟在甚麼時間取得政府郵箱的控制權，仍需要意大利調查機關的正式鑑證結果。Revolut接收了多少封冒充調查要求、分幾次交付資料、每次涉及多少名客戶，以及哪些資料欄位實際流出，也尚未見到完整的公開清單。

銀行內部如何處理這些要求，同樣需要進一步查明。是否有法務審查、獨立回撥、第二人覆核及安全交付程序，哪些措施曾被執行，哪些措施存在不足，都不能僅憑政府官員的批評或公司簡短聲明作出最終判斷。

事故通知方面，還需要取得適用資料保護機關的正式紀錄，確認Revolut何時知悉事故、何時完成風險評估、何時向監管機關通報，以及受影響客戶何時收到通知。

至於外洩資料的去向，公開資料目前也不足以證明攻擊者是否已刪除所有副本，或資料是否曾被轉交其他人。即使攻擊者日後聲稱刪除檔案，仍需要可靠的技術或調查證據支持，不能將單方面承諾當作資料已被完整收回的證明。

這些問題並非一般性的事後追責清單。每一項答案都可能改變對事故原因與責任的判斷。

如果銀行曾經執行充分的獨立核驗，卻仍遭遇高度複雜的身分冒充，事件便涉及現行核驗方法是否足以抵禦政府通訊帳戶遭控制的風險；如果調查發現銀行主要依賴寄件地址或文件外觀，則需要進一步研究其內部程序是否符合相關法律與安全要求。

政府端也存在同樣的證據要求。帳戶遭到控制的原因、權限管理、異常登入偵測及事故發現時間，將影響外界如何評價公共通訊系統的安全管理。

在調查結果完整公布以前，不宜將這宗事件寫成某一家銀行單方面失職的定案，也不能把它簡化成政府網絡遭到入侵所造成的不可避免後果。

目前最可靠的結論，是攻擊者成功利用政府通訊身分的可信外觀，取得了原本應受到銀行保護的客戶資料。政府身分如何被核實、銀行資料如何被批准交付，以及跨境法律程序如何發揮作用，仍有待進一步查明。

（圖片說明）法國護照封面的資料圖片。Revolut表示，將承擔受影響客戶必要的身分證件更換費用，但更換證件無法收回已被複製的個人資料。圖中護照並非本案客戶的外洩文件。

政府的權力，也需要被核實

Revolut事件中，最值得記住的數字是680，但它並不是衡量這宗事故制度影響的唯一尺度。

銀行沒有報告核心系統遭到直接入侵，也沒有確認客戶資金被攻擊者轉走。然而，680名客戶的資料仍然經由看似正式的調查程序流出，說明金融資料保護存在一個容易被低估的環節：當外部要求具有政府身分和法律文件的外觀，銀行如何判斷它是否真的具有合法權力？

這項判斷不能完全交給電子郵件系統，也不能僅依靠文件格式。政府通訊的真實性、司法授權的合法性、資料要求的必要性，以及最終接收者的身分，需要有相互配合的核驗程序。

對普通客戶而言，金融資料的安全很少是一個可以自行監督的過程。他們將身分文件與財務資訊交給銀行，通常無法知道銀行日後收到哪些政府要求，也無法逐一確認資料在甚麼法律程序下被披露。這份信任需要由金融機構與公共制度共同承擔。

Revolut事件的最終法律責任仍待調查，但它已經留下了一個明確的制度問題：銀行可以花費大量資源確認客戶的身分，當有人以政府名義要求取得客戶資料時，是否也有同樣可靠的程序確認對方？

在跨境金融日益依賴電子文件與遠端協作的年代，這個問題將影響的不止Revolut一家銀行。政府擁有依法調取金融資料的權力，金融機構在履行配合義務之前，必須有能力確認這項權力確實存在，而且正在由有權的人行使。

免責聲明

本文僅供新聞研究與制度分析，不構成法律或投資建議。部分事實仍在調查中；涉及各方的最終責任，應以主管機關調查及有效法律決定為準。