Revolutへの攻撃を仕掛けたグループが週末から、顧客のパスポート画像や本人確認用セルフィーを公開し始めた。Revolut側に対し支払いを求めるとともに、要求に応じるまで「毎日新たな流出」を続けると脅している。
重要ポイント
- 脅迫グループは、身分証明書やセルフィーなどRevolut顧客の本人確認書類を公開し、身代金支払いまで毎日流出させると宣言。
- 流出データにはパスポート、IBAN、出金履歴、取引履歴のフルデータなどが含まれると報告されている。
- Revolutは「影響を受けた顧客はごく一部」であり、基幹システムや資産には侵害はなかったと説明している。
Revolutの情報流出が表面化
モニタリングアカウントInternational Cyber Digestは9月13日、脅迫グループが「支払いを待つのをやめ、有名顧客のデータ投下を開始した」とX上で投稿した。最初の公開分には、本人確認書類とセルフィー画像が含まれていた。同アカウントによると、攻撃者は公開に踏み切る前に、Revolut側に対して各種情報の提出を求めるメールを送っていたという。
流出した書類には、テニス選手のAlexander Shevchenko氏、暗号資産ギャンブルサイトGamdomの最高経営責任者（CEO）であるFelix Römer氏のものが含まれていた。複数の暗号資産関連メディアは、犯行側の要求額を1万Bitcoin（BTC）と報じており、月曜日時点の価格では約7億8,000万ドルに相当する。ただし、金額が正式に確認されていないとする報道もある。
Revolutは身代金要求に関するコメントを控えている。広報担当者は、基幹インフラ、データベース、顧客口座は侵害されておらず、システムや資金に影響は出ていないと強調した。
関連記事: XRP ETFへの資金流入が9週連続で拡大、累計17億ドル超 価格低迷を尻目に過去最高更新
ZachXBT「富裕層狙いの流出」と指摘
オンチェーン調査で知られるZachXBT氏は、Revolutが顧客向けに送付した通知文をTelegram上で共有したうえで、Revolut自身のメールには記載されていなかった流出項目を追加で指摘した。そこにはIBAN、出金履歴、職業情報、ビットコインの全取引履歴などが含まれるとしている。
同氏は、件数としては限定的な漏えいだが、資産規模の大きい顧客、いわゆる「クジラ」層を主な標的にしたものだとの見方を示した。
Revolut側はこうした見立てを公式には認めておらず、暗号資産保有者だけが集中的に狙われたとする説明も行っていない。一方で研究者らは、パスポート画像と完全な取引履歴がひも付けられることで、実名を起点にした標的型フィッシングや詳細なチェーン分析が可能になると警鐘を鳴らす。本人確認書類や顔写真データは、なりすましによる口座開設や融資申込みなど、各種「本人詐称」リスクも高める。
Revolut情報流出の発端
今回の情報流出は、ある政府機関の正規ドメイン内に新たに作成されたメールボックスから送信された1通のメールに端を発している。このメールには正規の認証情報が付与されており、Revolut側のチェックをすり抜けてしまった。銀行は通常、所轄官庁などからの正式な照会には応じる義務があり、当該メールも見かけ上はそうした「正式要請」と判断された。
顧客向け通知のコピーは9月12日から出回り始め、Revolutは本件を「高度な外部のなりすまし詐欺」と説明。各国の規制当局および法執行機関に通報したと明らかにした。
同日には、元Mt. Gox CEOのMark Karpelès氏も、自身が対象となった旨の通知を公表している。Revolutは現時点で、影響を受けた顧客数を明らかにしていない。同社は30カ国以上で8,000万人超の顧客を抱えており、現在進行中の既存株主によるセカンダリー株式売却（既存株の持分売却）では、企業価値が約1,150億ドルと試算されている。
