一场假调查，如何让Revolut交出680名客户资料

（图片说明）伦敦金丝雀码头Revolut全球总部大楼外观，现代化玻璃幕墙建筑体现这家欧洲领先金融科技公司的规模与国际化定位。文章所讨论的客户资料外泄并非源于公司核心系统遭入侵，而是透过既有的政府资料请求程序流出。

680名客户的资料，经银行程序流出

2026年9月，欧洲金融科技公司Revolut承认，部分客户的个人资料被交给未获授权的第三方，意大利政府其后披露受影响客户共680人。攻击者利用遭到控制的意大利政府电邮帐户，冒充执法人员提出资料要求。 Revolut表示，公司自身的系统没有遭到入侵，客户资金亦未受影响，但部分客户资讯确实经由银行处理政府资料请求的程序，流向了冒充调查人员的人。

这宗事件最值得调查的地方，是按照Revolut的说法，银行并未因核心系统遭到突破而失去资料。攻击者利用了政府机构的通讯身分，以及银行依法配合调查的既有程序，使一项本应受到严格核验的资料披露行为，最终服务于没有法律授权的人。

9月18日，意大利内政部政务次长Wanda Ferro在国会答询时表示，意大利国家网络安全局（Agenzia per la Cybersicurezza Nazionale，ACN）于9月12日收到Revolut关于可能发生网络安全事故的通报，其技术团队透过邮件样本分析，确认一个归属雷焦卡拉布里亚省长公署的认证电邮帐户遭到控制。省长公署是意大利内政部派驻地方的政府机关。她同时披露，Revolut于9月15日向ACN进一步确认资料外泄，涉及680名客户，其中8人为意大利客户。

10月7日，Revolut西欧区行政总裁Béatrice Cossa-Dumurgier接受法国BFM电视访问时进一步表示，受影响客户中有55人位于法国。公司已向相关客户提供协助，如有必要更换身分证件，Revolut会承担相关费用。她表示，公司不会支付赎金，并重申Revolut自身的系统未遭入侵。

意大利政府与Revolut管理层披露的资料，为事件建立了基本范围。 680名客户分布于不同国家，至少包括意大利客户及位于法国的客户；但截至10月10日，尚未看到一份由监管机构公布、完整列出全部受影响国家及资料类别的事故报告。

对金融机构而言，680人不是一个庞大的数字。 Revolut在欧洲拥有数以千万计的客户，这宗事件涉及的人数只占其客户基础的一小部分。然而，资料取得方式揭示的问题，可能影响所有需要处理跨境司法要求的银行。

银行有法律义务协助合法调查，也有责任保护客户的个人与金融资料。两项义务需要在同一套程序内得到保障。当一封具有政府身分外观的邮件足以引发资料披露，最需要重新检查的便是银行如何核实要求的来源、法律效力及接收者身分。

（图片说明）2018年1月拍摄的Revolut卡片。这宗事件中，客户资料经由银行处理政府请求的程序流向冒充执法人员者；Revolut表示，其系统未遭入侵，客户资金未受影响。

政府邮箱为何取得银行信任

意大利使用一套称为Posta Elettronica Certificata（PEC）的认证电子邮件制度。这套制度广泛应用于政府、企业与专业机构之间的正式通讯，透过认证寄送及接收纪录，为电子文件提供具有法律效力的送达证明。

PEC在意大利行政与商业生活中具有重要地位。政府部门可以利用它传送正式通知，企业也可借此处理具有法律效力的往来文件。对跨国银行而言，来自真实政府网域、经正式通讯渠道送达的资料要求，自然比一般私人邮件更容易引起法务与合规部门重视。这套制度能够协助确认邮件的传送过程，但无法单独证明使用帐户的人拥有合法调查权力。

Revolut事件涉及一个归属意大利雷焦卡拉布里亚省长公署的认证电邮地址。 9月17日，意大利参议院公布第4-03368号书面质询，议员引用媒体报道及流传的邮件截图，要求政府说明攻击者如何利用相关邮箱冒充司法调查人员，以及Revolut为何接受这些要求。

质询指出，冒充者据报援引米兰检察机关的调查及欧洲跨境司法合作规则，要求银行提供客户资讯。文件还提及，部分邮件往来可能持续数月，攻击者声称取得大量机密资料。

但国会质询记录的是议员提出的问题及其引用的材料，不能直接视为政府已经核实全部内容。尤其是邮件往来持续时间、攻击者声称取得的147GB资料，以及个别客户被选中的原因，仍需要原始通讯纪录、技术鉴证和调查机关的正式结论支持。

意大利国家网络安全局的技术分析则提供了更具体的证据。按照Wanda Ferro的答询，CSIRT Italia分析了Revolut提供的一份涉事邮件样本，确认相关政府帐户确实遭到控制。这使事件与普通伪造寄件地址的电邮诈骗有所区别：攻击者利用的通讯资源与真实政府机构存在关联。

9月30日，意大利内政部长Matteo Piantedosi在国会表示，涉事PEC邮箱名为「entilocali」，归属雷焦卡拉布里亚省长公署，此前未曾使用。他批评银行原本可以透过基本核查，发现资料要求与发出机关之间的不一致，以及所要求资料的数量和类型存在疑点。 Revolut发言人拒绝评论部长的说法，其西欧区行政总裁则表示，政府机构有时可能成为整体安全体系中的薄弱环节。

双方的说法涉及两项需要分别调查的责任。政府有义务保护其通讯帐户及认证系统，银行则需要确认一项要求是否来自真正有权提出要求的机关。

目前尚无充分公开证据，可以确定攻击者最初如何取得帐户控制权、政府何时发现异常，以及银行在每次资料交付前究竟执行了哪些核验程序。责任的最终分配，需要等待更完整的调查结果。

（图片说明）意大利雷焦卡拉布里亚省长公署外观。意大利政府确认，攻击者利用的认证电邮帐户归属该公署。这张资料照片呈现涉事机关所在地，并非事故调查现场。

一份调查令需要什么授权

攻击者据报利用了欧洲刑事司法合作制度的权威外观。

欧盟《2014/41/EU指令》建立了欧洲调查令（European Investigation Order，EIO）制度，让成员国主管司法机关在刑事调查中，能够请求另一成员国采取特定取证措施。这项制度旨在提高跨境调查效率，同时保留司法审查、必要性与比例原则，以及相关当事人的权利保障。

按照指令，欧洲调查令必须由具备权限的司法机关签发，或依规定经司法机关确认。文件需要列明发出机关、调查目的、案件背景、所要求的措施及证据类别。执行国主管机关则依据本国法律与欧盟制度处理相关要求。

因此，一封附有正式文件的政府电邮，即使经过真实政府邮件系统传送，也不会自动取得跨境司法取证的法律效力。邮件来源、签发权限、司法确认、执行程序及资料交付范围，都有各自的法律要求。

这个区别在Revolut事件中尤其重要。意大利国会质询提及的冒充要求，据报使用了欧洲调查令的名义，但目前公开资料尚未完整披露相关文件。外界因此无法确认，攻击者究竟伪造了哪一种法定格式、是否使用真实案件编号、是否冒用司法签署，以及Revolut是根据何种具体法律程序决定交付资料。

对一家跨境银行而言，合法调查要求的处理通常涉及多个环节。法务人员需要判断提出要求的机关是否具有权限，合规人员需要确认资料类别与调查范围是否相称，资讯安全及资料管理人员则负责确保档案透过适当渠道交付。

如果银行只核对寄件地址及文件外观，却没有透过独立渠道确认发出机关的身分，一个真实的政府邮箱便可能成为冒充者最有说服力的工具。这也使一项原本用来保障跨境司法合作的制度，面临新的技术风险。

欧洲调查令依赖成员国司法机关之间的相互信任，但相互信任需要建立在可核实的法律身分与程序之上。当通讯渠道遭到控制，金融机构仍须有能力区分政府帐户的持有人、实际发件者与具有法定权力的司法机关。 Revolut是否具备这套能力，以及相关程序在哪个环节失效，目前仍有待调查。

资料外泄后，风险留给谁

Revolut强调，银行系统未遭入侵，客户资金未受影响。这项说明对判断事故性质十分重要，因为目前没有公开证据显示攻击者直接控制了客户帐户或完成未经授权的资金转移。

但金融资料的价值并不只体现在帐户余额。银行在开户及持续合规过程中，通常需要保存客户姓名、住址、身分文件、帐户资讯及部分交易纪录。这些资料原本用于确认客户身分、防止洗钱、处理交易及回应合法调查，一旦被未获授权者取得，便可能被用于身分冒用、针对性诈骗或其他犯罪活动。

本案尤其需要区分已确认的外泄事实与尚未核实的资料范围。 Revolut已承认部分客户个人资料遭到不当披露。媒体报道中涉及住址、身分文件及部分金融活动纪录的内容，仍须结合更完整的事故通知或监管文件，才能确认各类资料的实际覆盖范围，以及不同客户受到的影响。

对受影响客户而言，资料外泄可能带来长期后果。银行可以停用帐户登入凭证、更新安全措施，也可以协助客户更换身分证件；但住址、历史交易纪录及已被复制的文件，未必能够透过一次技术操作全部收回。

Revolut承诺承担必要的身分证件更换费用，属于事故后的具体补救措施。它能够减轻部分客户的直接支出，但不能据此推定外泄资料已被删除，或所有后续风险已经解除。

对银行而言，事故处理可能以系统检查、客户通知及监管报告告一段落；对个人而言，资料遭到复制后所产生的不确定性，可能持续更长时间。这种时间差，正是金融资料保护与一般系统故障处理之间的重要差别。

（图片说明）2022年10月22日，Matteo Piantedosi在罗马奎里纳莱宫出席政府宣誓就职仪式。这位意大利内政部长其后就Revolut事件批评银行未充分核实资料要求；图为就职时的资料照片。

72小时通报规则，从哪一天开始计算

Revolut事件涉及另一项需要查明的法律问题：银行在发现个人资料被未获授权者取得后，是否按照欧盟《一般资料保护规则》（General Data Protection Regulation，GDPR）履行了事故通报义务？

GDPR第33条规定，资料控制者在知悉个人资料外泄事件后，须在没有不当延误的情况下，并尽可能于72小时内通知主管监管机关，除非事故不太可能对自然人的权利与自由造成风险。若超过72小时，通知应附上延迟原因。即使事故符合毋须通报的例外，控制者仍须依规定记录事故。

第34条另有一项要求：如果资料外泄可能对个人的权利与自由造成高度风险，资料控制者原则上必须在没有不当延误的情况下通知受影响人士，除非符合条文列明的例外条件。

这两项规定处理的是不同责任。第33条涉及向监管机关通报，第34条涉及向个人通报。两者的法律门槛不同，也不能将72小时理解为所有客户都必须在事故发生后72小时内收到通知。

对Revolut事件而言，最关键的时间线尚未完整公开。意大利政府披露，ACN于9月12日收到Revolut关于可能发生网络安全事故的通报；9月15日，Revolut向ACN进一步确认资料外泄，并说明受影响客户人数。这是两次对外通报的纪录，不能直接把后一个日期视为公司首次知悉事故的时点。

GDPR所规定的72小时，原则上以资料控制者知悉个人资料外泄为起点，并非必然从攻击者第一次登入政府邮箱、第一封假调查要求送达，或资料首次被交付的日期开始计算。欧洲资料保护委员会的指引将「知悉」解释为：机构已有合理程度的确信，知道安全事故已经发生，并危及个人资料。

因此，判断通报是否及时，需要比较银行取得这种确信的时间，以及向主管资料保护机关通报的时间。 ACN是网络安全机关，向它通报的纪录不能单独证明Revolut已完成GDPR第33条要求的通知；9月12日至15日相隔三天，也不能直接用来判定公司合规或违规。

目前尚未取得Revolut向主管资料保护机关提交的原始事故通知，也未见完整的内部事件时间表。因此，不能仅凭这两个公开日期，认定公司已遵守或违反GDPR的72小时规定。

Revolut在欧洲的银行业务涉及立陶宛等司法管辖区，还须厘清涉事资料究竟由哪一家法人控制、适用哪一套跨境监管安排，以及哪个资料保护机关具有主要管辖权。英国客户如涉及独立的英国资料控制者，还可能适用英国GDPR及当地监管要求，不能把所有客户的法律关系简化成同一个欧盟监管程序。

这宗事件的通报是否及时，最终需要依据资料控制者的法律身分、事故知悉时间、实际通报纪录及风险评估文件作出判断。

政府与银行，各自需要回答什么

意大利政府与Revolut之间的公开分歧，涉及金融资料保护制度中的一项基本责任：当政府机构的通讯渠道遭到犯罪者利用，银行是否仍须对资料交付的合法性承担独立核验义务？

9月30日，意大利内政部长Matteo Piantedosi批评Revolut未能充分核实涉事资料要求，认为基本的审慎检查原本可能发现问题。 Revolut发言人拒绝评论部长的说法，但其管理层指出，政府机构也可能成为整个体系的薄弱环节。路透社10月7日的报道记录了双方这些不同的公开立场。

政府的批评有其法律与程序背景。银行持有客户资料，不能仅因有人自称执法人员便予以交付；要求必须具有适当的法律依据，所索取的资料亦须符合相关司法程序与适用的资料保护规定。

但政府机构同样负有安全责任。当一套官方认证邮件制度被公共机构用于正式通讯，接收方自然会赋予其一定程度的可信度。如果政府没有及时发现帐户异常，或者缺乏有效的权限管理与异常活动监测，犯罪者便可能利用这种信任进行跨机构欺骗。

这使事故责任可能同时涉及政府通讯安全、银行法律核验、资料交付程序，以及攻击者自身的犯罪行为。不同责任之间并不存在必然的互相排斥关系。

按照GDPR第5条与第32条的原则，处理个人资料的机构须确保适当的安全性，并根据处理活动的风险采取相称的技术与组织措施。第5条同时要求资料处理具有合法性、公平性与透明度，并遵守资料最小化原则。即使资料交付的目的表面上是配合刑事调查，银行仍须确认披露具有适当法律基础，且资料范围没有超出必要程度。

不过，GDPR是否遭到违反、由哪一家Revolut法人承担相关责任，以及是否需要采取行政处分，均属主管监管机关需要依据具体事实判断的问题。现有资料尚不足以支持对任何一方作出违法结论。

对调查而言，真正需要取得的是一条完整的决策纪录：政府帐户何时遭到控制、假调查要求何时送达、银行何时核实文件、哪个部门批准资料交付、资料何时离开银行，以及事故最终由谁发现。

这条时间线若能建立，才有可能判断安全漏洞究竟集中在哪个环节，以及哪些防护措施原本有机会阻止事件发生。

（图片说明）意大利众议院议场内部场景，显示国会质询与监督机制运作。内政部政务次长Wanda Ferro曾在此就Revolut事件及受影响的680名客户作出答询，确认国家网络安全局已分析涉事邮件样本。

银行如何核实政府身分

金融机构每天处理大量具有不同法律性质的外部要求，包括法院命令、监管查询、反洗钱调查、税务资料要求及刑事司法合作。这些程序通常有明确期限，有些还受到保密义务约束，银行不能简单地以拒绝提供资料来消除风险。

Revolut事件提出的问题，是在保留合法调查效率的同时，银行能否建立一套不依赖单一电邮地址或文件外观的身分核验程序。

首先需要区分通讯身分与法律权限。认证邮件纪录可以协助确认通讯渠道和送达情况，但提出要求的人是否具有调查权、相关文件是否经合法签发，以及接收资料的机关是否具有适当资格，仍须依据司法程序确认。

欧盟《欧洲调查令指令》第7条对文件真伪与传送问题提供了一项重要制度安排：涉及调查令传送或真实性的困难，可以由发出机关与执行机关直接联系处理，必要时亦可透过成员国中央机关协助。这项规定为跨境司法核验提供了正式渠道。它并不等于要求银行在所有案件中直接联络外国法官，但显示跨境司法合作本身已有处理文件真伪问题的法律程序。

银行可以在符合当地法律的前提下，建立与主管机关核实调查要求的固定程序。当要求涉及大量身分证件、交易纪录或其他高度敏感资料时，核验程度应与可能造成的损害相称。独立查证机关联络方式、确认司法文件编号、覆核法律依据及交付范围，均是值得检视的控制措施。

资料交付也需要留下可追溯的纪录。哪些栏位被提取、谁批准提取、档案经由何种渠道送达、接收者如何完成身分确认，以及交付后如何保存凭证，都会影响事故发生后能否重建事实。

在跨国金融集团中，这项工作还涉及组织结构。银行可能在一个国家持有牌照，在另一个国家设立客户服务或合规团队，并透过集中化系统处理多国政府的资料要求。法律主体、资料控制者、实际审批人员与技术操作人员未必位于同一司法管辖区。

集中处理可以提高效率，但如果某个中央团队将官方邮箱视为充分的身分证明，错误便可能跨越多个国家扩散。

Revolut事件是否存在这类集中化程序问题，目前没有足够公开资料可以确认。对其他跨境银行而言，这宗事故则提供了一项具体的检查方向：政府资料要求的核验标准，是否与银行对客户登入、资金转帐及高风险交易采用的安全标准同样严格？

银行通常不会只凭一封电邮，便允许陌生人控制客户资金。当一项要求涉及可能被用于冒名、诈骗或追踪个人财务活动的资料时，也应有相称的独立核验程序。

跨境金融资料的责任边界

Revolut事件发生在欧洲，却具有全球金融业共同面对的制度特征。

跨境银行需要在不同国家的法律之间处理资料要求。政府希望金融机构能够迅速协助调查洗钱、诈骗、逃税及其他犯罪；银行则必须同时履行金融保密、个人资料保护及客户权益保障义务。

在欧盟内部，欧洲调查令、GDPR及各国刑事程序法构成不同层面的法律安排。前者处理特定跨境刑事取证程序，后者规范个人资料处理及保护，而银行实际交付资料时，还可能需要遵守所在地法律、金融监管要求及相关司法决定。这些制度各有目的，却必须在具体案件中共同运作。

美国、英国及其他金融中心同样存在类似问题，只是司法授权、资料保护和金融机构披露义务的法律依据有所不同。银行不能把某一司法管辖区的政府资料要求程序，直接当作全球通用的法律标准。

金融业过去投入大量资源保护帐户登入、支付授权、交易监测及核心系统安全。随着跨境资料请求日益电子化，另一项安全工作也需要得到同等重视：确认提出要求的公共机构，以及实际使用该机构身分的人，是否具有合法取得资料的权力。

这项工作与传统网络安全密切相关，但又超出一般防火墙、恶意程式侦测或帐户密码管理的范围。它需要法务、合规、资讯安全及政府机关共同参与。银行必须相信法律程序，同时具备核验法律程序的能力。

对政府而言，认证邮件和电子司法合作制度也不能只追求文件传送速度。公共机构需要确保帐户权限、使用者身分、异常操作与文件签发纪录可以被可靠地管理及追溯。否则，政府通讯系统本来希望建立的公信力，便可能被攻击者转化成欺骗金融机构的资源。

（图片说明）Revolut西欧区行政总裁Béatrice Cossa-Dumurgier肖像。她在接受法国媒体访问时确认受影响客户中有55人位于法国，公司已提供协助并表示不会支付赎金，同时重申自身系统未遭入侵。

680名客户之后，还有哪些问题没有答案

截至2026年10月10日，Revolut事件仍有多项关键事实未见完整公开纪录。

攻击者究竟在什么时间取得政府邮箱的控制权，仍需要意大利调查机关的正式鉴证结果。 Revolut接收了多少封冒充调查要求、分几次交付资料、每次涉及多少名客户，以及哪些资料栏位实际流出，也尚未见到完整的公开清单。

银行内部如何处理这些要求，同样需要进一步查明。是否有法务审查、独立回拨、第二人覆核及安全交付程序，哪些措施曾被执行，哪些措施存在不足，都不能仅凭政府官员的批评或公司简短声明作出最终判断。

事故通知方面，还需要取得适用资料保护机关的正式纪录，确认Revolut何时知悉事故、何时完成风险评估、何时向监管机关通报，以及受影响客户何时收到通知。

至于外泄资料的去向，公开资料目前也不足以证明攻击者是否已删除所有副本，或资料是否曾被转交其他人。即使攻击者日后声称删除档案，仍需要可靠的技术或调查证据支持，不能将单方面承诺当作资料已被完整收回的证明。

这些问题并非一般性的事后追责清单。每一项答案都可能改变对事故原因与责任的判断。

如果银行曾经执行充分的独立核验，却仍遭遇高度复杂的身分冒充，事件便涉及现行核验方法是否足以抵御政府通讯帐户遭控制的风险；如果调查发现银行主要依赖寄件地址或文件外观，则需要进一步研究其内部程序是否符合相关法律与安全要求。

政府端也存在同样的证据要求。帐户遭到控制的原因、权限管理、异常登入侦测及事故发现时间，将影响外界如何评价公共通讯系统的安全管理。

在调查结果完整公布以前，不宜将这宗事件写成某一家银行单方面失职的定案，也不能把它简化成政府网络遭到入侵所造成的不可避免后果。

目前最可靠的结论，是攻击者成功利用政府通讯身分的可信外观，取得了原本应受到银行保护的客户资料。政府身分如何被核实、银行资料如何被批准交付，以及跨境法律程序如何发挥作用，仍有待进一步查明。

（图片说明）法国护照封面的资料图片。 Revolut表示，将承担受影响客户必要的身分证件更换费用，但更换证件无法收回已被复制的个人资料。图中护照并非本案客户的外泄文件。

政府的权力，也需要被核实

Revolut事件中，最值得记住的数字是680，但它并不是衡量这宗事故制度影响的唯一尺度。

银行没有报告核心系统遭到直接入侵，也没有确认客户资金被攻击者转走。然而，680名客户的资料仍然经由看似正式的调查程序流出，说明金融资料保护存在一个容易被低估的环节：当外部要求具有政府身分和法律文件的外观，银行如何判断它是否真的具有合法权力？

这项判断不能完全交给电子邮件系统，也不能仅依靠文件格式。政府通讯的真实性、司法授权的合法性、资料要求的必要性，以及最终接收者的身分，需要有相互配合的核验程序。

对普通客户而言，金融资料的安全很少是一个可以自行监督的过程。他们将身分文件与财务资讯交给银行，通常无法知道银行日后收到哪些政府要求，也无法逐一确认资料在什么法律程序下被披露。这份信任需要由金融机构与公共制度共同承担。

Revolut事件的最终法律责任仍待调查，但它已经留下了一个明确的制度问题：银行可以花费大量资源确认客户的身分，当有人以政府名义要求取得客户资料时，是否也有同样可靠的程序确认对方？

在跨境金融日益依赖电子文件与远端协作的年代，这个问题将影响的不止Revolut一家银行。政府拥有依法调取金融资料的权力，金融机构在履行配合义务之前，必须有能力确认这项权力确实存在，而且正在由有权的人行使。

免责声明

本文仅供新闻研究与制度分析，不构成法律或投资建议。部分事实仍在调查中；涉及各方的最终责任，应以主管机关调查及有效法律决定为准。