Revolutを欺いた攻撃者たちが、今度は6,000 XMRを要求しています。

フィナンシャル・タイムズ（FT）の独占取材に応じたハッカーらによると、Revolutが顧客データを失ったのは、ハッカーがサーバーを突破したためではなく、攻撃者たちが単にデータを要求しただけだった。 数カ月にわたりイタリアの法執行機関を装い、正規の政府メールシステムを利用していた「iamnotavillain」と名乗るグループは、特定の暗号資産ユーザーに関するファイルの提供を数カ月にわたり要求し続けました。ハッカーたちの主張は、FTの記者であるトム・ウィルソン、ライス・アル・カラフ、エイミー・カズミンに対し、「一連のメッセージ」を通じて伝えられました。 Revolutはこれらの要求に応じて、パスポート、自撮り写真、取引履歴を含む記録を送付したとされている。現在、このグループは約680人のデータを保有していると主張し、6,000モネロ（XMR、約300万ドル）を要求している。一方、公開されているカウントダウン時計は、これらの身元情報を他の犯罪者に引き渡すと脅している。

侵入はしていない。要求しただけだ

今回のデータ漏洩が成功した背景には、攻撃者がイタリアの「Posta Elettronica Certificata（PEC）」システムを利用したとされる。これは、法的および行政上の通信に使用される認証済み電子メールネットワークである。 この経路で送信されたメッセージには本物のドメイン認証情報が含まれていたため、Revolut側にはあたかも実際の政府機関から送信されたかのように見えるメールが届いた。

しかし、その認証ではメールが正当なドメインから送信されたことは示せても、アカウントの背後にいる人物が実際に権限を持つ公務員であることを証明することはできませんでした。攻撃者たちは、Revolutのセキュリティシステムを突破したのではなく、合法的な政府からの要請を処理するために設計されたプロセスを悪用したと主張しています。

被害者は事前に選定されていた

これは無作為なデータ収集ではありませんでした。同グループはオンチェーン分析を用いて仮想通貨の取引が活発なRevolutユーザーを特定し、その後、それらの個人の氏名に基づいて記録の開示を要求したと主張しています。FTの報道によると、被害を受けたのは31カ国にまたがり、同プラットフォームを利用していた約680人で、その多くはスイスとフランスに在住していたということです。

ファイルには、氏名、住所、電話番号、アカウントID、暗号資産の入出金履歴、法定通貨の送金履歴、本人確認（KYC）書類、本人確認用の自撮り写真などが含まれていたとされる。端的に言えば、このグループは単なる連絡先情報を収集していたわけではない。標的とする価値があると判断した人物について、詳細な身元情報をまとめた「身元パッケージ」を作成していたのである。

そして、モネロの身代金要求が舞い込んだ

9月16日、「Iamnotavillain」は同名のウェブサイトに公開の最後通告を掲載し、24時間以内に6,000 XMR（約300万ドル相当）を支払わなければ盗まれたファイルを他の犯罪グループに売却すると要求しました。 それ以前にはTelegram上で1万ビットコイン（BTC）の身代金要求が流れていたが、グループ側は後に、その金額についてはなりすまし犯や元仲間によるものだと主張した。

多くの観測筋にとって、恐喝の要求においてモネロ（XMR）への切り替えは理にかなっています。 ビットコインの取引は公開台帳上で確認できるのに対し、XMRは取引の詳細を隠蔽するように設計されている。一方、Revolutは報道陣に対し、カウントダウンが表示された時点で犯行声明を出した者たちから直接の要求は受けていなかったと述べた。つまり、このカウントダウンは交渉というよりも、世論による圧力をかけるためのキャンペーンであったと言える。

Revolutは、自社のシステムや顧客資金に影響はなかったと主張しています。犯人グループは、同社のコアネットワークに侵入したり、顧客口座から資金を引き出したりはしなかったようです。現時点での主張によると、彼らは一見正当な公式要請のように見える手段を通じて、Revolutに情報の引き渡しを説得したとされている。

とはいえ、盗まれた記録が無害というわけではありません。パスポート、自撮り写真、自宅住所、電話番号、取引履歴は、なりすまし、アカウントのリセット、偽のサポート電話、さらには他の金融サービスに対する二次攻撃に悪用される可能性があります。真の危険性は、Revolutから何が盗まれたかだけでなく、それらのファイルが他の場所でどのような悪用を可能にするかにもあります。

より大きな問題はKYC信頼チャネルにある

Revolutは9月12日、TechCrunchに対し、なりすまし詐欺を特定し、当該アドレスをブロックするとともに、関係機関、法執行機関、規制当局に通報したと述べました。現在、捜査当局は、正当な政府の通信チャネルがどのようにしてこの作戦に利用されたのかを調査しています。

これにより、この暗号資産企業を超えた不穏な疑問が浮かびます。もし1つの政府メールボックスが侵害されただけで数カ月にわたる説得力のある情報要求が生み出されたとすれば、他の暗号資産関連機関も同様のメッセージを受け取っていた可能性があります。攻撃者は金庫を破ったわけではありません。彼らは、金庫の開封を合法的に要求できる人物であるかのように装ったのです。