Revolut偽装政府メールでBitcoin(BTC)取引記録が流出、9月11日に顧客へ通知

偽装メール、正規ドメインという罠

フィンテック大手のRevolutは、政府公認の窓口に見せかけたメール1通によって騙され、顧客ファイルを外部に引き渡していたことを確認した。流出したファイルには、 Bitcoinの取引履歴 (BTC)に結びついた記録も含まれていた。問題のメッセージは実際に存在する政府機関のメールドメインから送られ、ドメイン認証も正当なものだったため、同社は「要請が真正なものだと合理的に信じる根拠があった」として応じてしまったという。

Revolutは声明の中で、この一件を「高度な外部なりすまし攻撃」と位置づけ、権限を持たない第三者が正規の政府機関ドメインのメールを用いて虚偽の情報開示要請を提出したと説明した。その上で、同社のシステムと顧客資金は影響を受けていないと強調している。

同社によれば、問題発覚後ただちに送信者をブロックし、当該政府機関、警察、データ保護当局および金融規制当局に通報し、「限られた数」の影響を受けた顧客に連絡したという。ただし同社は、どの政府機関のドメインが悪用されたかについては、警察捜査が進行中であることを理由に公表していない。政府のメールボックスが乗っ取られたのか、あるいは内部にすでに侵入していた人物が送信ボタンを押したのか、その区別は依然として開かれたままだ。漏えいを最初に指摘したブロックチェーン調査者のZachXBTは、被害は少数のユーザーに限られ、とりわけ富裕層を狙ったものとみられると述べている。 Bitcoinニュース を追う読者にとって、この事案は典型的な取引所ハッキングとは質が異なる。鍵も資金も動いていない。だが流出した情報は、オンチェーン上の活動を「名前と住所の判明する特定の個人」に紐づけてしまう。Revolut自身の説明を素直に読めば、攻撃者がやるべきことはメールを1通書いて待つことだけであり、コストの高い失敗は銀行側のコンプライアンス・プロセスの内部で起きたことになる。

パスポート、自撮り画像、ウォレット参照番号

事件の中心にある顧客向け通知書——ZachXBTが 自身の調査チャンネル で公開したもの——は、Revolutが流出したと認めるデータのカテゴリーを列挙している。それによれば、氏名、生年月日、職業、郵送先住所、メールアドレス、電話番号に加え、パスポートや運転免許証といった身分証明書のコピー、そして本人確認のために顧客が提出した自撮り画像(セルフィー)が対象に含まれる。Revolutが一線を引いたのは、生体の顔テレメトリー、すなわち写真から生成される顔テンプレートについては関与していないという点だ。ただし、写真そのものは流出している。口座明細書も開示されたカテゴリーの一つであり、そこにはIBAN(国際銀行口座番号)、口座状態、口座開設日、Bitcoinウォレットの参照番号に加え、出金記録と取引履歴の全量が含まれていた。もっとも、この通知書は「開示された可能性がある」情報のカテゴリーを列挙しているにすぎず、影響を受けた全顧客の全記録が実際に流出したことを証明するものではない。また、秘密鍵、アカウントのパスワード、決済カードの完全な詳細が含まれていたとも明言していない。ZachXBTによれば、複数の顧客が9月11日(金)に警告メールを受信したが、彼の投稿にも通知書にも、影響を受けたユーザーの確定数は示されていない。

背景を押さえておくべきだ。Revolutは世界で8,000万人超の顧客を抱え、9月3日には米通貨監督庁(OCC)から条件付きの米国銀行認可を取得し、8月26日にはデンマーク、ポーランド、ポルトガルの顧客向けにステーブルコインEURRの提供を開始したばかりだ。データ管理の実績への注目が高まる中、カストディアル型プラットフォームとセルフカストディを比較したい読者は、 おすすめの暗号資産取引所 をまとめたガイドを参照されたい。

システムではなくソーシャルエンジニアリングが突破した

私たちの読解では、教訓は「周辺防御は持ちこたえ、プロセスが破られた」という一点に集約される。Revolutのインフラを突くエクスプロイトは一切使われていない。それにもかかわらず、巧みに作られたなりすましメール1通が、暗号資産ホルダーが持ちうる最も機微な記録の一部を引き出してしまった。持続的に残るリスクは残高ではなく「アイデンティティ」だ。パスワードは数分で再設定できるが、パスポートはそうはいかない。さらに、自宅住所とウォレット参照番号を組み合わせられると、オンチェーンデータ単独では決して生じ得ないフィッシングや物理的標的型攻撃への露出が生まれる。

規制上の基準も明確である。 英情報commissioner事務所(ICO)の漏えい対応ガイダンス は、一定の個人データ漏えいを72時間以内に報告し、リスクが高い場合には個人へ遅滞なく通知することを組織に義務づけている。

被害を受けた集団が クジラ 規模のホルダーに偏っているかどうかは、現時点で確認されていない。