Revolutは、顧客に影響を及ぼすデータ侵害を受けたことを認めました。
9月14日、Revolutの広報担当者はInfosecurityの取材に対し、何者かが「正規の政府機関のドメインメールアドレス」を使用し、「不正な情報開示請求」を提出したと述べました。
Revolutはこの手口を「高度な外部なりすまし詐欺」と表現しており、これにより同社は機密情報を脅威アクターに開示してしまう結果となりました。
脅威アクターによる要請には有効な技術的ドメイン認証が付されており、Revolutの従業員は通常の法令遵守業務としてこれに応じてしまいました。
この英国のフィンテック企業は、今回のデータ侵害で影響を受けたのは「ごく限られた一部の顧客」のみだとし、システムや顧客資金には影響がなかったと付け加えています。
同社は、影響を受けた顧客の人数や、特定の市場・部門に被害が及んだかどうかについては、それ以上のコメントを控えました。
Revolutの広報担当者によると、同社のセキュリティチームは検知後直ちに「当該アドレスをブロック」し、影響を受けた顧客への通知に加え、該当の政府機関、さらには法執行機関、データ保護当局、金融規制当局にも連絡したとのことです。
機密性の高い顧客記録が流出、専門家は本人確認体制に疑問を呈す
9月12日、独立系の暗号資産セキュリティ研究者であるZachXBT氏はTelegramへの投稿で今回の侵害について警鐘を鳴らしました。同氏はRevolutが前日に送付した顧客向け通知を共有し、機密性の高いユーザー記録が不正にアクセスされたことを明らかにしています。
流出したとされるデータには、氏名、生年月日、自宅住所、電話番号、メールアドレス、職業に加え、政府発行の身分証明書(パスポートや運転免許証など)のコピーや本人確認用セルフィー画像が含まれています。
さらにZachXBT氏は、IBAN、口座開設日、取引・出金の完全な履歴、ビットコインウォレットの参照番号といった金融情報も流出したと主張しています。
今回の侵害についてHuntressのvCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、次のように述べています。「デジタルIDの検証を事業の基盤とするフィンテック企業である以上、第三者からのデータ要求を確認する際のハードルは極めて高く設定されているべきです。問題は、機密性の高いデータを扱う規制対象の金融機関が、なぜこうした不正を見抜けるだけの厳格な確認体制を備えていなかったのか、という点にあります」
「完全な『なりすまし詐欺キット』」―影響を受けた利用者が今すぐ取るべき対応
CyberSmartのCEO兼共同創業者であるJamie Akhtar氏は、Revolutが顧客資金やシステムには影響がなかったと説明している一方で、流出した情報は依然として本人確認詐欺や高度に標的を絞ったフィッシング攻撃に悪用され得ると警告しています。
Huntress社のPatel氏も、影響を受けた顧客について流出し得るデータの範囲は「一般的なデータ侵害の通知の域をはるかに超えている」と警鐘を鳴らしています。
同氏は次のように述べています。「パスポート、運転免許証、本人確認用セルフィー、取引明細、取引履歴、生年月日、住所……これはもはや単なる情報漏えいではありません。不正な要請を送りつけてきた相手に、完全な『なりすまし詐欺キット』を手渡したようなものです」
Akhtar氏は、「影響を受けた顧客は、Revolutや政府機関、その他信頼できる組織を名乗る不審な電話、メール、メッセージには特に注意すべきです」とアドバイスしています。
「パスワードやパスコード、ワンタイムのセキュリティコードを決して開示してはならず、連絡を取る際は必ずRevolutの公式アプリまたは検証済みの公式ウェブサイトを通じてのみ行うべきです」
同氏はまた、今回の侵害の影響を受けていない場合も含め、あらゆるデジタル金融サービスの利用者に対し、多要素認証(MFA)を有効にすること、パスワードを使い回さないこと、口座やクレジットレポートを日頃から確認して不審な動きがないか監視すること、そしてなりすましの疑いがあれば速やかに通報することを推奨しています。
画像提供: Matthew Nichols1 / WD Stock Photos / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/revolut-data-breach-fake-government/
