Revolutでデータ漏えい?ハッカーが7,500万件のユーザーレコードを主張

脅威アクターが、7,500万件を超えるRevolutユーザーのレコードを含むとされるデータベースを販売していると主張しており、顧客情報が流出した可能性への懸念が高まっています。 

しかし、Revolutは自社システムが侵害された証拠は見つかっていないとしており、このフォーラムへの投稿が新たなセキュリティインシデントを示すものであるとの見方に異議を唱えています。

Revolutのデータ漏えい疑惑に関する要点

• 脅威アクターは、7,500万件を超えるRevolutユーザーのものとされるレコードを含むデータベースを販売していると主張。
• Revolutは新たな侵害の証拠は見つかっていないとしつつ、主張内容の調査を継続中。
• 研究者らは、販売価格の低さや複数の情報源からの寄せ集めである可能性を示す兆候から、データセットの真正性に疑問を呈している。
• もし本物であれば、このデータはフィッシング、認証情報を狙った攻撃、なりすまし、アカウント乗っ取りに悪用され得る。 

Revolutのデータ漏えい疑惑について判明していること 

最近、あるサイバー犯罪フォーラムで脅威アクターが、Revolutの顧客データベースだと主張するものを宣伝し、7,500万件を超えるユーザーレコードが含まれていると主張しました。 

サンプルデータを分析したセキュリティ研究者らによると、部分的な決済カード情報、メールアドレス、氏名、電話番号、住所、アカウント識別子、デバイス情報、ハッシュ化されたユーザー認証情報が確認できたとのことです。 

また、このデータセットにはbcryptまたはargon2id形式のパスワードハッシュに加え、デバイスモデル、オペレーティングシステム、登録時のIPアドレスといったメタデータも含まれているとされています。 

もしこれが本物であれば、個人情報・アカウント情報・デバイス情報の組み合わせにより、スピアフィッシングキャンペーン、認証情報を狙った攻撃、なりすまし被害につながる可能性があります。

研究者らがデータセットの真正性に疑問を呈す 

今回主張されているデータセットの規模の大きさにもかかわらず、その真正性についてはいくつかの疑問点が指摘されています。 

この脅威アクターは、レコードを約500ドルで販売しているとされていますが、数千万人ものユーザーに影響するとされるデータにしては、異例に低い価格です。 

研究者らはまた、このレコードは2025年5月頃までのものにとどまっているようで、これまでに公表されたRevolutのセキュリティインシデントとの関連は確認されていないと指摘しています。 

このため、このデータは単一の侵害によって窃取されたものではなく、複数の情報源から寄せ集められた可能性があるとの見方も浮上しています。 

Revolut、侵害の主張に異議 

Revolutは、このフォーラムへの投稿が自社システムに対する新たな侵害を示すものであるとの見方に異議を唱えています。 

同社は、社内の監視体制やセキュリティ対策では、今回主張されているデータセットに関連する不正アクセスは検知されていないとし、引き続き調査を進めているとしています。

ユーザーと組織がRevolutの漏えいリスクを軽減する方法 

調査担当者が主張されているデータセットの検証を続ける中、ユーザーは自分のアカウントを守り、フィッシングや認証情報の窃取、アカウント侵害のリスクを減らすため、積極的な対策を講じる必要があります。

• 多要素認証(MFA)を有効化し、情報が流出した可能性がある場合はパスワードを変更する。
• アカウントの活動状況や通知内容は公式のRevolutアプリまたはウェブサイトのみで確認し、認証情報やワンタイムパスコード、決済情報を求める不審なメールやテキストメッセージ、電話には注意する。
• アカウント、決済カード、ログイン履歴を監視して不審な挙動がないか確認し、信頼済みデバイスやアクティブなセッションを見直すとともに、不審な活動はRevolutの公式サポート窓口を通じて報告する。

組織側は、たとえ侵害そのものが確認されていない段階であっても、今回主張されているデータがフィッシングやアカウント乗っ取り、その他のソーシャルエンジニアリングキャンペーンに悪用される可能性に備えておく必要があります。 

• フィッシングキャンペーンを継続的に監視し、ブランドへのなりすまし、不審なログイン試行、その他のアカウント乗っ取りや不正行為の兆候にも目を配る。
• フィッシング耐性のあるMFAやリスクベース認証、最小権限の原則、特権アカウントの継続的な監視を徹底し、アイデンティティセキュリティを強化する。
• 脅威インテリジェンスソースやアンダーグラウンドフォーラムを監視し、今回のデータセットに関連する新たな兆候を把握して、新しい情報が得られ次第、防御体制を調整する。
• フィッシングやソーシャルエンジニアリングの手口、特に信頼できる金融機関を装ったりアカウントの活動状況に言及したりする手口について、従業員の意識を高める。
• インシデント対応計画、不正利用への対応手順、顧客とのコミュニケーションプロセスを定期的にテストする。

これらの対策を組み合わせることで、個人・組織双方が全体的なリスクを軽減する助けとなります。

結論

より大きな教訓は、主張されている内容が最終的に事実だと裏付けられるかどうかにかかわらず、あらゆる漏えい疑惑を運用上のセキュリティ事案として扱うべきだという点です。 

脅威アクターは、注目度の高いセキュリティインシデントを日常的に悪用し、フィッシングやソーシャルエンジニアリングキャンペーンをより説得力のあるものに仕立て上げます。だからこそ、実際に侵害が発生したかどうかを見極めることと同様に、アイデンティティセキュリティ、脅威インテリジェンス、インシデント対応への備えが重要になります。 

攻撃者が信頼されたアイデンティティや世間の注目を集めるセキュリティ事案を悪用し続ける中、ゼロトラストは、アイデンティティを狙った攻撃によるビジネスへの影響を最小限に抑えるための基盤的な戦略となっています。