Revolutは、政府機関からの正規の照会を装った不正な要求に同社が応じた結果、機密性の高い顧客情報が流出したデータセキュリティインシデントを公表しました。
この事案により、限られた数のユーザーのKYC記録と詳細な財務情報が流出したとされており、なりすまし詐欺、フィッシング、標的型の暗号資産詐欺への懸念が高まっています。
CSNによると、今回の情報流出は同社の中核システムやモバイルアプリ、顧客アカウントの侵害によるものではありません。代わりに、攻撃者は政府機関のドメイン配下にある不正なメールアカウントを利用し、当該機関になりすましました。
ドメイン認証の資格情報は正当なものに見えたため、担当者はこのメッセージを本物の要求として扱ってしまいました。回答には氏名、生年月日、職業、住所、メールアドレス、電話番号が含まれていました。
さらに、パスポートまたは運転免許証の写し、自撮り画像、取引明細書、IBAN、アカウントステータスの詳細、開設日、ウォレット参照番号、出金記録、取引履歴も含まれていました。Revolutは、顧客の資金は安全であり、内部システムは侵害されていないと述べています。
Revolutは、生体認証の顔テレメトリデータは今回の件に関与しておらず、侵害もされていないと強調しています。とはいえ、流出した本人確認用のスキャン画像や確認用自撮り画像は、なりすましのリスクを高める可能性があります。
犯罪者はこれらの情報を連絡先情報や財務情報と組み合わせることで、巧妙な連絡文面を作成したり、本人確認手続きを回避したり、銀行・取引所・携帯電話会社・各種サービスプロバイダに対してアカウント復旧詐欺を試みたりする可能性があります。
財務記録は残高情報にとどまらず、明細書や取引データも含まれており、ビットコイン関連の取引活動が示されている可能性があります。こうした記録からは、資産状況、取引行動、ウォレットの利用状況、取引のタイミング、取引所や取引相手との関係性が明らかになる恐れがあります。
この情報は、標的を絞った暗号資産窃取の試みや投資詐欺、恐喝、あるいは価値の高い標的を狙ったソーシャルエンジニアリング攻撃に悪用される可能性があります。
Revolutは今回の事案を、インフラの侵害ではなくソーシャルエンジニアリングによるものだと説明しています。同社は不正なメール送信元をブロックし、関係当局に通報するとともに、影響を受けた顧客に連絡したとしています。
それでも今回の事案は、データ運用における弱点を浮き彫りにしています。信頼されたドメインや認証が通っているからといって、送信元アカウントが正当な権限を持つことの証明にはならないのです。
業界の関心は今後、銀行やフィンテック企業、暗号資産サービスにおける必須のKYC収集のあり方に向かう可能性があります。本人確認書類、自撮り画像、連絡先情報、取引履歴が一つの開示情報としてまとめて渡されると、攻撃者は高精度な人物プロファイルを手に入れることになります。
オンチェーン調査員のZachXBT氏をはじめとする暗号資産コミュニティの関係者は、攻撃者が資産家層のユーザーを狙ったとされる主張を取り上げています。
影響を受けた顧客にとって、これらの情報が組み合わさることで、Revolutのサポート窓口、警察、税務当局、あるいは暗号資産取引所になりすました、説得力のある偽メッセージが作られる恐れがあります。
攻撃者は住所、口座情報、取引の出来事を引き合いに出すことで、緊急性や信憑性を演出できます。想定されるリスクには、認証情報の窃取、SIMスワップ詐欺、不正なアカウント復旧、悪意あるウォレット窃取リンク、恐喝、さらには身体的な脅威まで含まれます。
リスクの高い記録を扱う組織は、法的機関や政府機関からの要求について、要求文中に記載された連絡先ではなく、別途確認済みの連絡先を用いたアウトオブバンドの経路で検証すべきです。
データを開示する前には、要求内容の最小化、複数人による承認、記録の保持、エスカレーション手順の適用が必要です。今回の事案は、認証はドメインを保護するものであっても、それだけでは送信者の正当性を証明できないことを示しています。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/revolut-data-breach-exposes-passport-copies/
