Revolut、偽の政府照会に応じ顧客データを流出

何が起きたか偽造された公式照会

Revolutは12日、政府機関を装う第三者が正規の政府ドメインのメールを使って偽の「情報提供要請」を送り、顧客データを入手していたことを認めた。こうした要請は当局が金融機関に顧客記録を求める際に使う通常の経路だ。同社は要請が偽物と判明する前に対応していたという。

何が流出したか

TechCrunchが確認した影響顧客向けの通知メールによると、流出データには氏名・連絡先（生年月日、住所、メールアドレス、電話番号）に加え、パスポートや運転免許証などの本人確認書類の写しが含まれる。同社は認証用の自撮り画像や取引明細が含まれた可能性もあるとしている。

暗号資産セキュリティ研究者のZachXBT氏は12日夜（現地時間）、この通知を公開し、高額資産の顧客が標的にされた可能性があると指摘した。Revolutはこの見方を確認せず、特定の市場に限られた事案かどうかも明らかにしていない。

なぜ詐欺が成立したか

銀行には警察や税務当局、規制当局から顧客情報の照会が日常的に届く。そうした照会は日常業務で法的な重みを持つため、対応する担当部門はその真偽を疑う仕組みになっていない——なりすまし詐欺が狙うのはまさにこの隙間だ。今回の攻撃者はシステムへの侵入すら必要としなかった。公式に見える政府メールアドレスから偽の照会を送っただけだからだ。

• 日常的な経路——当局からのデータ照会は銀行にとって日常業務であり、詐欺師はそれを偽造した。
• 信頼できる送信元——実在する政府機関のドメインが使われていた。
• 目立つ兆候なし——要請そのものに偽物を示す兆候はなく、パターンが指摘されて初めて発覚した。

Revolutの対応

Revolutは詐欺発覚後、そのメールアドレスをブロックし、名義を悪用された政府機関に通告。警察と金融規制当局にも報告した。同社はシステムと顧客資金への影響はなく、影響を受けた顧客には直接連絡したと強調している。

背景

今回の流出はRevolutにとって微妙な時期に起きた。同社は世界で8000万人超の顧客を持ち、30か国以上で銀行として営業。最近は米通貨監督庁からナショナルバンク免許の条件付き承認も得ている。報道によれば最大2000億ドルの評価額で株式上場も検討中で、公式照会の審査漏れは単なる注記以上の意味を持つ。

金庫が破られたのではない。偽造された鍵が正面から差し入れられたのだ。

結論

この事案は、データセキュリティにはプロセス・セキュリティが含まれることを改めて示している。「誰が求めているか」の検証は、「誰が攻撃しているか」への防御と同じくらい重要だ。企業は公式照会を独立した経路で確認すべきであり、顧客は流出した本人確認書類がなりすましに使われる可能性を前提に対応すべきだ。