Revolutは一部顧客に対し、パスポートや自宅住所、さらにビットコイン (btc) の完全な取引履歴が、偽造された政府要請を真正と誤認してしまった結果、第三者に渡ったと通知した。
要点
- Revolutは、偽の政府要請を本物とみなし、顧客の本人確認書類およびビットコインの取引履歴を開示した。
- 同社は顧客資産の安全と監督当局への報告を強調する一方で、なりすましに使われた当局名や影響を受けた顧客数は公表していない。
- 調査関係者は、流出件数は限定的で、高額資産保有者を狙い撃ちしたものとの見方を示している。
Revolut通知の詳細──ビットコイン取引も対象
影響を受けたユーザーには9月11日深夜にメールが送られ、オンチェーン調査で知られるZachXBT氏が、その通知文面を数時間後に自身のTelegramチャンネルで共有した。
通知によると、要請は本物の政府機関ドメイン内に不正に作成されたアカウントから発信されており、ドメイン認証情報も正規のものだったという。Revolutは、この要請が「真正なものであると合理的に信じた」として対応に踏み切ったと説明している。
開示対象となった情報には、氏名、生年月日、職業、自宅住所、メールアドレス、電話番号に加え、パスポートまたは運転免許証のコピー、さらには口座開設時に撮影されたセルフィー画像まで含まれていた。
さらに、IBAN、口座開設日、ウォレット参照番号を記載した取引明細書に加え、出金履歴およびビットコインを含む完全な取引履歴も提供されていた。
Revolutはその後、正式な経路を通じて当該当局に照会を行い、その過程で当局ドメイン内部に不正アカウントが存在していた事実を当局側に知らせる形となった。通知では、顧客の資金自体は安全であり、パスワード類は一切提供していないと説明。監督当局にも報告済みとしているが、影響人数は明かしていない。
関連記事: イーサリアム、ETF流入2.16億ドルで2,800ドルに供給の壁
ザックXBT氏とカルプレス氏、Revolutに説明を要求
ZachXBT氏は、この incident は規模こそ限定的だが、高額資産保有者を標的としたものと指摘。その後、RevolutのX（旧Twitter）上の公式2アカウント双方にブロックされたスクリーンショットを公開し、同社が公表姿勢を欠いていると暗に批判した。
元Mt.Gox CEOのマーク・カルプレス氏も、「あなたのRevolutアカウントに関する緊急のセキュリティ更新」と題した警告メールを受け取ったと明かし、その内容の大部分をXに投稿した。
同氏は、Revolutか、なりすましに利用された当局のいずれかが、どの機関が標的となったのかを公表すべきだと主張。そうすれば他の銀行や暗号資産取引所が、自社の法的要請記録から同一メールボックスを洗い出せると訴えた。これに対しRevolutのサポート用アカウントは、同社がプライバシー保護を重視していると回答している。
ビットコイン取引記録の紐づけが招くリスク拡大
パブリックブロックチェーンはコインの移転履歴を誰でも追跡できる一方で、そこにパスポート画像や職業、自宅住所といった属性情報は含まれていない。今回のように「確認済み本人情報」と「完全な取引履歴」が一体で外部に渡れば、通常はコンプライアンス目的にとどまるデータが、「誰がどれだけ保有し、どこに住んでいるか」を示す精緻なマッピングツールに変貌し得る。
Revolutは過去にもデータ関連のトラブルを抱えている。リトアニアのデータ保護当局は、2022年9月に発生した社員へのソーシャルエンジニアリング攻撃で、5万150人分のRevolut顧客情報が影響を受けたと記録している。また、2026年7月には「7,500万件のRevolutデータが販売されている」とするフォーラム投稿が出回ったが、同社はこれを虚偽の可能性が高いとし、研究者らに対し実在性を否定していた。
