2026 年 9 月 12 日，金融科技公司 Revolut 确认了一起其称为复杂的外部冒充诈骗事件：一名未经授权的一方使用合法政府机构域名下的电子邮件，提交了索取客户信息的欺诈性请求。这些请求在骗局被发现之前就已被执行。

这起事件值得您关注的原因在于，它并不包含通常意义上的入侵。没有软件漏洞，没有泄露的密码，也没有恶意软件。Revolut 自己表示，其系统和客户资金均未受影响。有人以正确的方式、通过正确的渠道索要数据，并且拿到了。正因如此，这件事对每一家保存客户记录的企业都很重要，而不仅仅是银行。

真正得到确认的内容

我们只限于公司公布的内容和专业媒体的报道，因为调查仍在进行，很多信息尚未披露：

  • 手法：从属于真实政府机构的域名内部一个未经授权的账户发出邮件，带有官方信息请求的分量。
  • 数据：身份和联系信息，包括出生日期、邮寄地址、电子邮件地址和电话号码，以及护照和驾照等身份证件的复印件，还有在“了解你的客户”审核过程中收集的人脸核验图像。
  • 规模：公司表示涉及的客户数量有限，并未公布具体数字。
  • 机构：Revolut 以调查仍在进行为由，拒绝透露其域名被利用的政府机构名称。
  • 应对：该地址已被封锁，受影响的客户已直接收到通知，公司还通报了相关政府机构、执法部门、金融监管机构和数据保护机构。

一位名为 ZachXBT 的加密安全研究人员评估认为，这次攻击似乎针对的是高净值客户，这表明其目的是构建详细的个人档案，而不是无差别地收集信息。这是研究人员的评估，而不是公司的声明，我们也按此引用。

请求为何得逞：身份认证不等于授权

大多数企业邮件系统依赖技术检查来确认一封邮件确实来自其声称的域名。这些检查对付普通伪造很有效：任何冒充自己无法控制的域名的人都会被拒绝。但它们被设计为只回答一个问题：这封邮件是不是从那个域名发出的？

这并不是您需要回答的问题。您的问题是：写这封邮件的人是否有权索要其所索要的内容。没有任何邮件检查能回答这一点。这两个问题之间的距离，就是身份认证与授权之间的距离，而整个行动正是从这个缺口穿过的。当发件账户位于真实域名内部时，无论它是被入侵的还是被错误开通的，您的团队能看到的每一个信任指标都会显示为绿色。

实际结论是：您的邮件网关的职责止于把请求完整送达。判断请求是人的工作，它需要书面流程，而不是个人直觉。

您的企业会以更简单的形式收到同样的请求

人们很容易把这件事归为遥远的欧洲金融科技新闻。但每天到达沙特企业的请求，其实是换了一身更朴素外衣的同一种东西：一封要求提供客户对账单的邮件，一条以监管目的为由索取员工信息的消息，一通要求确认合同细节的电话，一封来自带有熟悉官方名称的地址、要求提供文件以完成某项手续的来函。

在大多数中小企业中，这类请求的处理方式是：它落到某位员工手中，发件人看起来很官方，拒绝官方机构似乎比照办风险更大，于是文件就被发出去了。没有记录是谁索要的、发出了什么、何时发出。没有独立的核实步骤。等问题后来暴露时，公司没有任何东西可以用来还原事件经过。

还要注意其中施加的压力。紧迫感与官方身份结合在一起，正是让核实失效的原因。一名担心被指责妨碍政府程序的员工会跳过确认电话，而这正是这种手法有意制造的效果，而不是副作用。

沙特法律对您的要求

《个人数据保护法》(PDPL) 并没有让这个问题悬而未决。它为您的企业设定了双重义务：只在允许的情况下披露，出错时要报告。

  • 第 15 条规定了可以披露个人数据的情形，包括请求方为公共机构且请求是出于安全目的、执行其他法律或满足司法要求，具体以实施条例的规定为准。
  • 第 16 条规定了必须拒绝披露的情形，包括披露会影响国家安全、危及个人安全或干扰正在进行的调查。
  • 第 20 条要求控制者就泄露或非法披露通知主管机关和数据主体。实施条例规定，须在 72 小时内通过国家数据治理平台通知主管机关。

把这三条放在一起读，决定性的一点就显现出来：法律把权利赋予公共机构，而不是赋予电子邮件。一项来自公共机构域名的请求，并不因此就成为该机构的请求。核实的法律义务仍由作为数据控制者的您承担，它不会仅仅因为发件人看起来很官方就转移给对方。

Origami 的观点

Origami 是一家为沙特企业构建系统的科技公司，我们反复看到的一种模式是：几乎所有安全投入都用在了防止未经授权的进入上，比如密码、双因素认证和防火墙。这些都是必要的，但它们只守住了一扇门。我们讨论的这起事件根本没有从门里进来。它敲了敲门，索要数据，然后数据就被递了出去。没有任何技术设置能阻止一名有权限的员工把文件发给一个以看似正确的方式索要它的人。

因此，我们把数据离开企业视为内置于系统中的流程，而不是写在手册里的指导：谁有权导出客户数据，每次导出是否都记录了由谁、何时以及为何操作，第三方请求是否经过审批路径。一家能在一分钟内回答“上个月有哪些数据从这里流出、原因是什么”的公司，就有可以用来自我辩护的东西。做不到的公司，会在需要答案的那一天才发现这个缺口。

本周就可以采用的一页流程

这不需要立项，也不需要预算。它需要一条书面的、公开的规则，保护您的员工不必在压力下独自做决定：

  • 任何客户或员工数据都不能仅凭一条收到的消息就发出。消息开启请求，但不执行请求，无论发件人看起来多么官方，语气多么紧急。
  • 通过独立渠道核实。不要回复该消息，也不要拨打消息中写的号码。拨打该机构官方网站上公布的号码。仅这一步就足以阻止整个行动。
  • 一位指定的审批人。一个有权向外部方提供数据的人，并指定一名在其缺席时的代理人。把权限分散给所有人，就意味着没有人负责。
  • 每项请求都有书面记录。谁索要的、以什么身份、什么数据、谁批准的、如何核实的，以及日期。电子表格中的一行就足够了，它的价值会在一年后而不是今天显现。
  • 只发送最少的内容。如果请求是合法的，就只发送对方确切索要的内容，而不是整个文件或整张表。您发送的数据量，就是请求一旦被证明是欺诈时的损失规模。
  • 在需要之前就了解报告路径。由谁在 72 小时内通知沙特数据和人工智能局 (SDAIA)，通过哪个平台，提供哪些细节。花在寻找流程上的时间，会直接从期限中扣除。

这一切背后的原则是：核实不是阻挠。真正的官方机构不会反对拨打其自己公布的号码进行确认，而反对被核实的人，恰恰是最应该被核实的人。把这一点以书面形式告诉您的团队，这样拒绝一项请求就永远不会成为某一位员工必须独自承担的个人风险。

来源