フィンテック大手**Revolut（レボリュート）**を標的とした攻撃グループが週末、顧客のパスポート画像や本人確認用セルフィーの公開を開始した。支払いに応じるまで毎日新たなデータを流出させると通告している。
主なポイント
- 脅迫グループが、レボリュート顧客の身分証明書やセルフィー画像を投稿し始め、身代金支払いまで毎日公開を続けると主張。
- 流出データにはパスポート、IBAN、出金履歴、詳細な取引履歴などが含まれると報じられている。
- レボリュートは「影響を受けた顧客はごく一部」であり、基幹システムや顧客資金には侵害はないと説明している。
レボリュートの流出データが表面化
モニタリングアカウントInternational Cyber Digestは9月13日、攻撃グループが支払いを待つのをやめ、著名アカウント保有者のファイルの投下を開始したとXで投稿した。最初のバッチには、身分証明書と本人確認用セルフィーが含まれていたという。同アカウントによると、攻撃者は公開前にレボリュート側にメールで情報提供を要求していた。
公開された書類の一部は、テニス選手のAlexander Shevchenko（アレクサンダー・シェフチェンコ）と、暗号資産ギャンブルサイトGamdomのCEOであるFelix Römer（フェリックス・レーマー）のものだった。暗号資産メディアは、身代金要求額がBitcoin（BTC）1万枚、月曜時点の価格で約7億8,000万ドル規模に上ると伝えているが、金額は確定していないとの報道もある。
レボリュートは、この支払い要求に関するコメントを差し控えた。広報担当者は、基幹インフラやデータベース、顧客口座はいずれも侵害されていないと強調している。
関連記事： XRP ETF、9週連続資金流入で過去最高の17億ドル到達 価格低迷を尻目に資金が集中
ZachXBT「富裕層クジラ狙い」と指摘
オンチェーン調査で知られるZachXBTは、レボリュートが顧客向けに送付した通知文をTelegram上で共有したうえで、同社のメールには含まれていなかった項目を追記した。それによると、流出した恐れのある情報には、IBAN、出金履歴、職業情報、ビットコインの完全な取引履歴などが含まれるという。
彼は、件数としての規模は限定的と評価しつつも、資産規模の大きい富裕層アカウントが狙い撃ちされた可能性が高いとみている。
一方で、レボリュートはこうした見方を公式には認めておらず、暗号資産保有者のみが標的になったとは説明していない。研究者らは、パスポート画像と完全な取引履歴がひも付けられることで、実名ベースでのチェーン分析や標的型フィッシングが容易になると警鐘を鳴らす。身分証と顔認証用画像の流出は、名前が挙がった関係者全員に対する「なりすまし」詐欺リスクも高める。
レボリュート情報流出の発端
今回の情報露出の発端は、ある政府機関の正規ドメイン内で新たに作成されたメールボックスから送信された1通のメールにさかのぼる。このメールは認証情報も正規で、レボリュート側のチェックをすり抜けた。銀行は原則として公的機関からの正式な要請に応じる義務があり、文面もそれらしく作られていた。
顧客向け通知の写しは9月12日から出回り始め、レボリュートはこの事案を「高度な外部からのなりすまし詐欺」と位置付け、監督当局および法執行機関に通報したと説明した。
元Mt. Gox CEOの**Mark Karpelès（マルク・カルプレス）**も同日、自身に関する通知を公表している。なお、レボリュートは現時点でも被害を受けた顧客数を公表していない。同社は30カ国以上で8,000万人超の顧客を抱えており、企業評価額約1,150億ドルとされるセカンダリー株式売却を進めている。
