Revolut、政府機関を装ったハッカーに顧客データを流出させる

Revolut、身元不明の脅威アクターに顧客情報を漏洩

英国を拠点とするネオバンク「Revolut」は、顧客情報を脅威アクターに不注意で開示してしまった最新の金融機関となりました。

顧客に送信されたメールによると、世界中で7,000万人以上のユーザーを抱えるRevolutは、政府機関を装った身元不明の脅威アクターに個人を特定できる情報（PII）を提供してしまいました。 同社は、あるドメイン上にホストされた不正なアドレスから送信された情報提供要請メールに応じる過程で、このデータを提供してしまったと報告しました。

「通信には正当なドメイン認証情報が含まれていたため、Revolutはそれが真正な政府機関からの要請であると合理的に判断し、応じた」と同社は強調しました。

同社は関与が疑われる機関の名称を明かしていません。ただし、共有された情報には氏名、生年月日、職業、住所、電子メールアドレス、電話番号などの重要な詳細が含まれており、情報漏洩の対象となった顧客の個人情報の安全が脅かされる可能性があることを指摘しました。

さらに同社は、顔認証付きのパスポートや運転免許証の画像など、本人確認書類や関連データも共有したため、顧客が身分証明書盗難の危険にさらされる可能性があります。

現在は活動停止している「Aave Chan Initiative」の創設者であるマーク・ゼラー氏も、この情報漏洩の影響を受けた顧客の一人でした。

「目が覚めたら、Revolutによって自分のデータがすべて漏洩していた。KYC（本人確認）は有意義なメリットをもたらさず、多くの人を危険にさらしてきたという痛烈な教訓だ」と、彼はソーシャルメディアに投稿しました。

オンチェーン調査家のZachXBT氏は、今回のインシデントの規模は限定的だった可能性が高いものの、富裕層ユーザーを標的としたものと思われるため、影響を受けた顧客が標的となる可能性が高まっていると指摘した。

この事件は、世界的に「顧客確認（KYC）」への反発が高まる中で発生しました。複数の金融機関や暗号資産企業が顧客情報を悪意ある攻撃者に漏洩させ、ユーザーの個人の安全を脅かしている中、レンチ攻撃の頻度と凶暴性が増しています。