# Revolut、偽の政府照会に応じ顧客データを流出

> Revolutは、政府機関を装った第三者が正規の政府ドメインのメールで偽の情報提供要請を行い、顧客の本人確認書類や連絡先が流出したことを確認した。影響を受けた顧客数は「限定的」で、資金とシステムへの影響はないとしている。

_Source: Revolut spokesperson statement reported independently by Reuters and TechCrunch (2026-09-12); affected-customer notification reviewed by TechCrunch. Revolut has not disclosed the affected count or the impersonated agency. · 2026-09-13 · 6 min read · Verified against primary sources_

Canonical: https://iyu.app/ja/e/revolut-fake-government-request-breach

## 60秒でわかる

Revolutは、政府機関を装う詐欺師に偽の公式メールで顧客の本人確認書類と連絡先を渡していたことを認めた。影響人数は非公表。

**要点**

- 攻撃者は正規の政府ドメインのメールで偽の「情報提供要請」を送信。銀行が実際の捜査照会に使う経路を悪用した。
- 流出データには生年月日、住所、電話番号、パスポート・運転免許証の写しが含まれ、認証用自撮りや明細も含まれた可能性がある。
- Revolutはアドレスをブロックし、名義を悪用された機関や警察、規制当局に通報。資金とシステムへの影響は否定。

**結論.** システム侵入ではなくプロセス上の失態であり、規制下のフィンテックもソーシャルエンジニアリングに遭い得ることを示している。影響を受けた顧客は口座詐欺だけでなく、二次的なフィッシングやなりすましのリスクに備えるべきだ。

## 本文

> **⚑ Caveat:** Revolutは影響を受けた顧客数を明らかにしておらず「限定的」とのみ説明し、悪用された政府機関の名称も明かしていない。本記事は同社がロイターとTechCrunchに示した声明と、TechCrunchが確認した顧客向け通知メールに基づく。


### 何が起きたか — 偽造された公式照会

Revolutは12日、政府機関を装う第三者が正規の政府ドメインのメールを使って偽の「情報提供要請」を送り、顧客データを入手していたことを認めた。こうした要請は当局が金融機関に顧客記録を求める際に使う通常の経路だ。同社は要請が偽物と判明する前に対応していたという。

- **8000万人超** — 世界の顧客数（同社公表）
- **30か国以上** — 銀行として事業展開する国・地域
- **「限定的」** — 影響人数に関する唯一の開示


### 何が流出したか

TechCrunchが確認した影響顧客向けの通知メールによると、流出データには氏名・連絡先（生年月日、住所、メールアドレス、電話番号）に加え、パスポートや運転免許証などの本人確認書類の写しが含まれる。同社は認証用の自撮り画像や取引明細が含まれた可能性もあるとしている。

暗号資産セキュリティ研究者のZachXBT氏は12日夜（現地時間）、この通知を公開し、高額資産の顧客が標的にされた可能性があると指摘した。Revolutはこの見方を確認せず、特定の市場に限られた事案かどうかも明らかにしていない。


### なぜ詐欺が成立したか

銀行には警察や税務当局、規制当局から顧客情報の照会が日常的に届く。そうした照会は日常業務で法的な重みを持つため、対応する担当部門はその真偽を疑う仕組みになっていない——なりすまし詐欺が狙うのはまさにこの隙間だ。今回の攻撃者はシステムへの侵入すら必要としなかった。公式に見える政府メールアドレスから偽の照会を送っただけだからだ。

- **日常的な経路**——当局からのデータ照会は銀行にとって日常業務であり、詐欺師はそれを偽造した。
- **信頼できる送信元**——実在する政府機関のドメインが使われていた。
- **目立つ兆候なし**——要請そのものに偽物を示す兆候はなく、パターンが指摘されて初めて発覚した。


### Revolutの対応

Revolutは詐欺発覚後、そのメールアドレスをブロックし、名義を悪用された政府機関に通告。警察と金融規制当局にも報告した。同社はシステムと顧客資金への影響はなく、影響を受けた顧客には直接連絡したと強調している。

> **→** **当面のリスクは流出そのものではなく、二次的な詐欺だ。**Revolutのサポートや銀行を装うフィッシングに注意し、明細を確認しよう。本人確認書類が流出しているため、信用情報機関へのクレジットフリーズや不正利用アラートの設定も検討を。正規のサポートがパスワードやワンタイムコードを求めることはない。


### 背景

今回の流出はRevolutにとって微妙な時期に起きた。同社は世界で8000万人超の顧客を持ち、30か国以上で銀行として営業。最近は米通貨監督庁からナショナルバンク免許の条件付き承認も得ている。報道によれば最大2000億ドルの評価額で株式上場も検討中で、公式照会の審査漏れは単なる注記以上の意味を持つ。

> 金庫が破られたのではない。偽造された鍵が正面から差し入れられたのだ。


### 結論

この事案は、データセキュリティにはプロセス・セキュリティが含まれることを改めて示している。「誰が求めているか」の検証は、「誰が攻撃しているか」への防御と同じくらい重要だ。企業は公式照会を独立した経路で確認すべきであり、顧客は流出した本人確認書類がなりすましに使われる可能性を前提に対応すべきだ。


## Primary sources

- [Reuters: Revolut confirms sensitive customer data breach, falling for fake government requests](https://www.reuters.com/legal/litigation/revolut-confirms-sensitive-customer-data-breach-falling-fake-government-requests-2026-09-12/)
- [TechCrunch: Revolut confirms customer data breach through fake government requests](https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/)

---
_Published by iyu (https://iyu.app) — the day's AI news, checked against primary sources and rewritten in plain language. Free to quote with attribution and a link to the canonical URL._