レボリュート、偽の政府要求でビットコイン履歴など顧客情報開示

偽の政府要求で顧客情報開示

英フィンテック大手のレボリュート（Revolut）は、顧客への通知の中で、政府機関へのなりすましメールによる不正な情報開示要求に応じ、パスポートの写しや本人確認用セルフィー、口座情報、ビットコイン（BTC）を含む全取引履歴などを開示していたことを12日に明らかにした。

要求メールは、政府機関の正規ドメイン上にある権限のないアカウントから送信され、ドメイン認証も正規に通過していた。同社は要求を本物と信じて対応したが、後に不正なものだったと判断したとしている。

正規ドメインが認証を通過

通知によれば、開示された可能性がある情報には氏名や生年月日、職業、住所、メールアドレス、電話番号のほか、IBANや口座状況、ウォレット参照番号を含む口座明細、出金記録も含まれる。一方で顔認証用の生体データは対象外だったとしている。

ログイン情報やカード番号、秘密鍵、資金そのものは対象に含まれておらず、レボリュートは口座・資産の安全性に変わりはないと顧客に説明した。同社は該当機関への確認、不正に使われたメールボックスのブロック、規制当局への通知、対象口座への予防的な保護措置を講じたとしている。

非公表の項目と関係者の反応

レボリュートは、関与した機関名、不正なアカウントが政府ドメインを取得した経緯、要求や開示が行われた日時、対象となった顧客数、開示情報が悪用されたかどうかについて、いずれも明らかにしていない。規制当局からの公式コメントも現時点でない。

オンチェーン調査者のZachXBT氏は事案を注意喚起し、規模は限定的とみられるとしつつ富裕層の顧客が狙われた可能性があると指摘した。なお、顧客通知の写しを公に共有したのは元Mt. Gox CEOのマーク・カルプレス氏で、当局に該当機関を特定するよう求めている。

7月の流出騒動とは別件

今回の事案は、サイバー犯罪フォーラムでレボリュートの顧客記録7500万件が流出したとする7月の主張とは別の出来事。レボリュートは当時、侵害の兆候はなく、サンプルとして示された識別情報も実在する口座と一致しなかったと説明していた。

レボリュートはこの開示について自ら公式声明を出しておらず、本記事の内容は流出した顧客通知や関連報道に基づく。