Revolut、偽装政府照会でBitcoin(BTC)取引履歴を漏えい

9月12日の顧客通知が示したもの

英フィンテック大手のRevolutが、政府機関を装った偽装情報照会に応じる形で、Bitcoin(BTC)の取引履歴一式を含む顧客の個人データを外部に渡していたことを、影響を受けた顧客宛ての通知で確認した。この事実が表面化したのは9月12日のことで、同社の顧客向け通知文の写しがネット上に拡散し始めたのが発端だ。通知文によれば、偽装メールは実在する政府機関の公式ドメイン内に不正に作成されたメールボックスから送信されており、ドメイン認証も正当に通過していた。そのためRevolutのコンプライアンス部門は、これを真正な法的照会として処理してしまったという。 今回、渡った可能性があるデータはKYCファイルの全体に及ぶ。氏名、生年月日、職業、住所、メールアドレス、電話番号に加え、パスポートや運転免許証の写し、登録時(オンボーディング)に取得された顔認証用セルフィーまでが含まれる。財務記録については、IBAN(国際銀行口座番号)、口座状態、口座開設日、ウォレット参照番号、出金履歴、そしてプラットフォーム上で実行されたすべてのBitcoin売買を網羅する全取引履歴が対象になり得るとしている。なお、生体の顔特徴データそのものは含まれておらず、漏えいしていないと同社は説明する。 通知を検証したオンチェーン調査者のZachXBTは、漏えいの規模は限定的とみる一方、標的となったのは実質的に富裕層であるクリプトホエールとみられる顧客層だったと指摘した。また、元Mt. Gox CEOのMark Karpelès氏も自身が影響を受けた一人であることを明かし、顧客向け通知をXへの投稿で公開した。

公開が始まった被害者記録

事態はより攻撃的な第二局面に入った。セキュリティ監視グループのInternational Cyber DigestがX上で報告したところによれば、攻撃者は身代金の支払いを待つことをやめ、窃取したデータの直接公開に着手している。公開されたのは著名顧客のセルフィーと身分証明書の写しで、テニス選手のAlexander Shevchenkoや、オンラインクリプトカジノGamdomのCEOであるFelix Römerの記録が含まれていた。 この投稿と併せて引用されたTelegram上のメッセージで、攻撃者側はRevolutが「顧客データを漏らした代償を支払う」まで、毎日さらに多くのデータを公開すると表明している。このエスカレーションがクリプトユーザーにとって特に重く響くのは、Revolutが法定通貨の銀行機能、株式、暗号資産取引を一つの口座に統合する数少ないコンシューマーアプリだからだ。この種の漏えいは単に身元を晒すだけではない。各顧客のデジタル資産取引の全体像――何を、どの規模で、いつ買ったか――まで攻撃者に渡すことを意味する。 KYC用セルフィーと身分証明書がすでに公開状態にある以上、なりすまし被害のリスクはRevolut本体を大きく超えて広がる。他社でのローン申込みや口座開設、さらに精緻に標的を絞ったフィッシングへと接続されかねない。当社のBest Crypto Exchangesガイドで取引所を比較する際は、各プラットフォームがどんな基準で当局照会を検証してから記録を渡すのかを、判断材料の一つに置くべきだろう。

認証は通過したが、当局名は非公開

依然として不明な点は多い。Revolutは、悪用されたドメインの所属機関がどこかを明かしていない。公式インフラ内に不正メールボックスがどう有効な認証情報を取得したのかの説明もなく、影響を受けた顧客数についても「限られた数」とする表現以上の具体値を示していない。 同社は、自社システムと顧客資金には影響がなく、ログイン認証情報、カード番号、秘密鍵、残高は暴露対象に含まれていなかったと主張する。対応としては、不正メールボックスの遮断、当該機関への直接連絡と不正アカウントの指摘、データ保護当局および金融当局への通知を行い、影響を受けた口座には予防的な保護措置を適用したとしている。 この一件は、7月にサイバー犯罪フォーラムで流れた「Revolutの顧客記録7,500万件が流出した」という主張とは別物だ。当時同社はこの主張を否定し、侵入の痕跡は確認できず、サンプルの識別子も実在の口座と一致しなかったと説明していた。当局からの公式見解は現時点で出ていない。 時間軸は重要だ。同社が顧客に偽装照会による開示を確認したのが9月12日、攻撃者による最初の公開はその週末の9月13日以降に実施されている。つまり身代金の支払い期限はすでに始動しているとみるのが自然だ。

コンプライアンス受信箱という攻撃面

当社の読みでは、偽装照会、身代金目的のデータ公開、そして当局名の未特定という三つの糸が、一つの構造的弱点を突きつけている。KYCファイルと長期のHODL型クリプト資産を同一口座で抱えるフィンテック基盤は、当局照会のなりすましにとって「まとめて奪える」標的になりつつある、ということだ。 当社のBitcoinセキュリティ報道が近頃のSymbiosisブリッジハッキング以降に記録してきた通り、攻撃面はスマートコントラクトからコンプライアンス担当者の受信箱にまで拡大している。本事案における一次資料はKarpelès氏が公開した顧客向け通知である。当局名が明かされない限り、Revolutの照会検証ワークフローと政府側のメールボックスセキュリティの双方が、検証不可能なまま残る。