フィンテック企業のRevolutは、政府機関になりすました脅威アクターに対し、非公開の顧客数分のデータを共有してしまったことによるデータ侵害を公表しました。
Revolutは160カ国・地域以上で事業を展開しており、法人顧客80万社を含む世界中の8,000万人以上の顧客に対し、銀行業務・資金管理・投資サービスを提供しています。
被害を受けた顧客に送られたメールによると、攻撃者はある政府機関のドメインを使ったメールで、個人を特定できる情報（PII）を要求してきたとのことです。
「Revolutは、正規の政府機関からのものと思われる顧客情報の照会を受け取りました。この照会は、その政府機関の公式メールドメインを使い、権限のないメールアカウントから直接送信されたものでした」と同社は被害を受けた顧客に伝えています。「この連絡には有効なドメイン認証情報が付与されていたため、正当な政府機関からの照会であると合理的に判断し、対応しました」
Revolutによると、脅威アクターに送られたデータには、対象者の身元情報（氏名、生年月日、職業）、連絡先情報（郵送先住所、メールアドレス、電話番号)、さらには身分証明書類・本人確認データ（パスポートおよび/または運転免許証のコピー、口座開設時の本人確認（KYC）で提出された顔認証用画像（自撮り写真）)も含まれています。
流出した情報には、口座明細書（IBAN番号を含む）、出金記録、取引履歴全体（ビットコイン取引を含む）も含まれています。
同社はReutersに対し、今回のデータ侵害で影響を受けた顧客は「非常に限られた」数にとどまると説明していますが、具体的な人数の公表は拒否しています。
「Revolutのシステムおよび顧客の資金には影響がありません。検知後直ちに該当のメールアドレスをブロックし、当該政府機関のほか、捜査機関、データ保護当局、金融規制当局にも通報しました」とRevolutの広報担当者は述べています。
暗号資産詐欺の調査員であるZachXBT氏は週末に次のように述べています。今回の侵害でRevolutの顧客のうち影響を受けたのはおそらく限られた数だとしつつ、「高純資産保有者を狙い撃ちにしたようだ」との見方を示しました。
BleepingComputerが本件についてさらに詳しい情報を求めて連絡を取ろうとしたところ、Revolutの広報担当者はすぐには対応できない状況でした。
4年前にも、Revolutは別のデータ侵害を公表しています。この際は2022年9月に攻撃者が50,150人の顧客の個人情報、連絡先情報、金融情報を窃取していました。
