Revolutの顧客情報流出：本物の政府ドメインを悪用した偽照会とは

Revolutは、正規の政府機関メールドメインから送られた偽の情報開示要求に応じた結果、機微な顧客情報が権限のない第三者へ渡ったと明らかにしました。9月12日の公表で重要なのは、攻撃者がRevolutの中核システムへ直接侵入したと確認されたわけではない点です。公的機関らしく見える連絡経路への信頼を悪用し、情報開示のプロセスをだましたとみられます。Revolutは、対象となった顧客へ連絡済みであり、顧客資金と自社システムは影響を受けていないとしています。134

Revolutが確認したこと

Revolutによると、正規の政府機関ドメインに属するメールアドレスから不正な情報照会が届き、その要求に応じたことで、顧客情報が不正な第三者へ開示されました。同社はこれを「高度な外部なりすまし詐欺」と説明。発覚後に当該アドレスをブロックし、関係当局へ通報したとしています。13448

ここで区別すべきなのは、提供された報道からは、攻撃者がRevolutの中核的な銀行インフラへ侵入したことや、顧客資金へアクセスしたことは裏付けられていないという点です。一方で、機微な外部照会を処理する手続きが欺かれたことは確認されています。134

なりすましはどのように成立したのか

確認されているのは、要求が実在する政府機関のメールドメインを用いて送られたことです。技術的に正規に見える送信元ドメインは、特に法執行機関や行政機関からの照会を迅速に扱う担当部署にとって、通常の連絡に見える可能性があります。135

一部報道では、送信元がイタリアの認証電子メール制度「PEC」に関連し、内務省のpec.interno.itドメインが使われた可能性が指摘されています。ただし、この帰属については、Revolutやイタリア当局による独立した確認は、ここで参照する資料の範囲では示されていません。攻撃の確定的な説明ではなく、報道上の手掛かりとして扱うべきです。37

今回の教訓は明確です。メールドメインが本物であることだけでは、極めて機微な情報を求める照会の正当性を証明できません。既知の連絡先を通じて当該機関へ別経路で確認し、記録開示の前にエスカレーションや複数人承認を行う必要があります。

影響を受けた人数は

Revolutは当初、影響を受けたのは「ごく限定的な」顧客数だと説明し、具体的な人数は公表していませんでした。1

その後の報道では、世界で約680人が影響を受け、うちアイルランドの顧客は12人とされています。ただし、Revolutは当初の声明でこの人数を公表していないため、同社が直接発表した確定値ではなく、報道された数字として受け止める必要があります。33

また、攻撃者とされる人物・集団は、イタリアの法執行機関システムへ約6か月間アクセスし、この作戦を行ったと主張したと報じられています。これはRevolutや当局が確認した調査結果ではなく、脅威アクターによる未検証の主張です。3637

漏えいした可能性がある情報

TechCrunchが確認した影響対象者向け通知によると、開示された情報には、生年月日、住所、メールアドレス、電話番号などの本人・連絡先情報に加え、パスポートや運転免許証のコピーが含まれていました。本人確認用のセルフィー、口座明細、取引履歴も含まれた可能性があります。35

別の報道では、IBAN（国際銀行口座番号）、出金記録、ビットコイン取引に関する情報も含まれていたとされています。510

こうした情報の組み合わせは特に危険です。本人確認書類はなりすましやアカウント回復を悪用する詐欺に使われ得ます。また、連絡先と金融情報がそろうと、実在の情報を織り込んだ、もっともらしいフィッシング詐欺を仕掛けやすくなります。

ビットコイン取引情報がリスクを高める理由

氏名、住所、本人確認書類、認証用セルフィーがあれば、現実世界の個人と金融活動を結び付ける手掛かりになります。そこにビットコインの取引履歴が加われば、検証済みの本人情報と、公開ブロックチェーン上で閲覧可能な活動とを関連付けられる可能性が高まります。1035

だからといって、すべてのウォレットや将来の取引が直ちに本人にひも付くわけではありません。しかし、標的型フィッシング、本人確認を悪用した詐欺、脅迫、暗号資産保有者を狙う詐欺のリスクは上がります。パスワードと異なり、身分証や過去のブロックチェーン記録は、流出後に単純に「変更」できない情報です。

公開されたとされる記録と身代金要求

攻撃者は顧客情報の公開を始め、さらに公開を続けると脅していると報じられました。テニス選手のアレクサンダー・シェフチェンコ氏、オンライン暗号資産カジノGamdomのCEOであるフェリックス・レーマー氏のファイルとされる情報が確認されたとの報道があり、Cointelegraphはレーマー氏が自身の詳細が流出情報に含まれていた後にコメントしたと伝えています。2

1万BTC（当時の換算で約7億8,000万ドル）を要求したとする情報も、投稿や二次報道で拡散しました。しかしRevolutも法執行機関も、この要求を確認していません。したがって、実際に確認された身代金交渉ではなく、未検証の恐喝主張として扱うのが適切です。1213

影響を受けた顧客が取るべき対応

Revolutから通知を受けた場合は、通知内容を保存し、同社の公式案内に従ってください。そのうえで、個人情報を引用してくるメッセージ、Revolutや規制当局を名乗る連絡、至急の操作を迫る連絡には、通常以上に警戒が必要です。

実行しやすい対策は次の通りです。

• Revolutとメールのパスワードを、他サービスと使い回している場合は変更し、利用可能な最も強い多要素認証を有効にする。
• 正確な個人情報が書かれていても、突然の電話・SMS・メールは疑う。
• ワンタイムパスコード、復旧コード、シードフレーズを、電話相手や送信者に決して渡さない。
• 銀行、カード、暗号資産取引所の口座で不審な動きがないかを確認し、怪しい連絡は記録する。
• 身分証が開示された可能性がある人は、カード再発行でリスクが終わると考えず、将来的な本人なりすましにも備える。

英国では、組織が個人情報を適切に保護していなかったと懸念する人に対し、情報コミッショナーオフィス（ICO）が、まず当該組織へ連絡することを案内しており、データ保護に関する公的な相談窓口も提供しています。23

金融事業者への教訓

この事案は、政府機関や法執行機関からの機微な情報開示要求について、送信元ドメインの確認だけでは不十分であることを示しています。有効な対策には、信頼できる名簿の連絡先を用いた折り返し確認、特に機微な開示での複数人承認、必要最小限のデータ提供、照会記録の監査可能な保存、権威を装うソーシャルエンジニアリングを見抜く手順などがあります。

利用者にとっても要点は同じです。公的に見えるメールアドレスは、信じる根拠ではなく、確認すべき手掛かりです。本人確認情報と金融履歴が関わる流出では、最初の情報開示よりも、その後に続く詐欺の被害が大きくなることがあります。

なお分かっていないこと

根拠資料から確認できるのは、Revolutが正規の政府機関ドメインから届いた偽の照会を受け、顧客情報を開示したこと、そして同社によれば中核システムと顧客資金は影響を受けていないことです。1

一方、PECインフラが果たした正確な役割、約6か月という期間、影響を受けた顧客の最終的な総数、攻撃者が主張するイタリアのシステムへのアクセス、英国規制当局による対応状況などは、提供された報道では解決していません。公式確認がない限り、これらを確定した事実として扱うべきではありません。133637