Revolut流出事件、犯人グループが6,000 XMR(約300万ドル)を24時間で要求

6,000 XMRの身代金と24時間の期限

フィンテック大手Revolutの顧客データ流出事件で、犯行声明を出したグループが24時間の期限付きで6,000 プライバシーコインMonero(XMR)の支払いを要求した。時価で約300万ドルに相当し、応じなければ盗んだ記録を他の犯罪グループに売り渡すとしている。要求は水曜午後にグループのウェブサイトに掲載され、期限までのカウントダウン時計が並んでいた。「iamnotavillain」というハンドル名で活動するこの集団は、暗号資産を大量に保有するRevolutユーザーをオンチェーン活動の精査で特定したと説明しており、手法は「オンチェーン分析による」、標的は「クリプトホエール」だとだけ述べている。なぜ身代金が取引詳細を設計上匿名化できるコインで建てられているのか、この説明で辻褄が合う。攻撃者は台帳データを掘り起こして被害者を順位付けし、追跡に耐えない資産での支払いを求めているのだ。影響を受けた顧客はグループの主張によれば約680人で、スイスとフランスに集中し、残りは英国、ドイツ、スペインを含む31カ国に散らばっている。事件関係者も独立して影響数を約680人と裏付けている。アクセス権の証拠として、犯人グループは60秒の画面録画を公開した。内容にはパスポート、運転免許証、KYC(顧客確認)審査の写真、取引履歴が写っていたという。グループの声明が出された時点でRevolutとの交渉は始まっておらず、Revolutの広報担当者は同グループと直接接触したことも、直接要求を受け取ったこともないと述べている。当デスクが注目するのは、選定メカニズムという構造的な点だ。攻撃者はコンプライアンスを重視するフィンテック企業のウォレットアドレスと巨額の保有残高を結び付け、そのリストを身代金の地図に変換した。

イタリア検察が捜査を開始

レッジョ・カラブリアの検察は、同市県庁の認定メールアカウントへの不正アクセス容疑で捜査を開始した。このメールボックスが、数か月にわたり内務省ドメインから郵政警察を名乗る情報要求を送るために使われたと、犯人グループは主張している。アカウントが侵害されたのか、クローンされたのかは調査当局もまだ確定しておらず、イタリアの国家対マフィア・対テロ検察庁も事案をフォローしている。同国のデータ保護当局は、イタリアの銀行のデータ保護責任者に対し自社システムに同種の侵入がないか点検するよう指示したほか、Revolutの主たる法人登記があるリトアニアの当局にも連絡を取った。さらに犯人グループは、イタリア警察の文書や職員のチャットを含む147ギガバイトのデータを保有すると主張しており、この点は現在も検証中だ。一方、漏えいの発端は技術的な欠陥ではなくソーシャルエンジニアリングだった。Revolutは先週、正規の政府機関メールドメインを悪用した偽の情報要求に応じて顧客情報を外部の第三者に渡したことを確認しており、記録が手渡された後になってから悪計に気づいたという。渡された記録にはパスポートが含まれ、本人確認用のセルフィーやビットコイン取引を含む取引履歴も流出した可能性があるという。「Revolutのシステムと顧客資金は影響を受けていない」と同社は声明で述べ、要求に使われたアドレスを遮断し、関係する政府機関、法執行機関、規制当局に通知したと付け加えた。英国金融行動監視機構(FCA)の広報担当者は、潜在的な被害と対応策を把握するため「同社と協議中」だと述べ、情報管理官庁(ICO)は報告を受けたことを確認し、評価を進めている。

プライバシーコインで身代金という計算

当デスクの読みでは、この事件はプライバシーコインをめぐる議論の両刃を同時に鋭くした。攻撃者は完全に透明な台帳を利用して被害者を順位付けしておきながら、要求の建値にはMoneroを選んだ。支払いの流れを守るのはリング署名とステルスアドレスであって、ゼロ知識証明ではない。追跡可能なコインをクリプトミキサー経由で回す時代は終わりつつあり、機密性がデフォルトの資産へと置き換わりつつある。24時間の期限が支払いに至るかどうかに関係なく、欧州の規制当局によるプライバシー特化型アルトコインセグメントへの監視、そして免許を持つフィンテック企業が政府からのデータ要求をどう検証するかへの目は強まるだろう。今後の動向は当サイトのMoneroカバレッジ、プライバシーコインラリーに関する先日のレポート、そしてMoneroをプライベートに使うための初心者ガイドで追える。