英フィンテック企業Revolutは、正規の政府機関メールアカウントから送られた緊急データ開示請求に応じ、詐欺師に機密性の高い顧客データを渡してしまったことを認めました。
加害者らは富裕層の個人を標的にしていたとみられ、その多くが暗号資産関連ビジネスに関わっている人物だったということです。
Revolutは週末、「政府機関の正規ドメインのメールアカウントを悪用し、第三者が不正に情報開示を求めるという、巧妙ななりすまし詐欺を最近確認した」と発表しました。
同社は、悪用された具体的な政府ドメインを公には明らかにしていません。しかし、この攻撃を実行したと主張するアカウントがTelegram上で流布した恐喝目的とみられる画像から、当該メールはイタリアのドメインから送られたものとみられています。
Recorded Future Newsがイタリアの複数の当局に問い合わせたものの、いずれからも回答は得られませんでした。当該Telegramアカウントはその後停止されており、投稿内容の詳細についてはすべてを確認できたわけではありません。
漏えいの証拠としてTelegramの投稿で共有された、盗まれたとされるデータの持ち主であるRevolut顧客の1人は、ソーシャルメディア上の投稿で、その情報の真偽については否定しませんでした。
Revolutによれば、影響を受けた顧客はごく一部にとどまり、該当者には直接通知したとしています。
同社は「発覚後直ちに当該アドレスをブロックし、関係する政府機関に加え、法執行機関、データ保護当局、金融規制当局にも連絡した」としています。
同じ侵害されたドメインが他の金融機関を標的にしていたかどうかは分かっていません。加害者側は、顧客データの公開を回避する見返りとして、Revolutに対して恐喝目的の金銭支払いを求めていたと主張しています。
Recorded Future Newsの取材に対し、Revolutは恐喝の試みの有無についてコメントを控えました。
暗号資産分野の起業家であるMarc Zeller氏はX上への投稿で、土曜日に目を覚ますと「自分のデータがすべてRevolutによって漏えいされていた」ことに気づいたと明かしました。
Zeller氏は「腹立たしいのは、これがまさにRevolutから『大量のデータを提出しなければ20日以内にアカウントを閉鎖する』という通知を受け取った直後に起きたということだ」とつづり、「今となっては、彼らがハッカーにまんまと騙され、従順な子犬のようにハッカーのために仕事をしてやっていたことが分かる」と述べています。
他の被害者たちが共有した顧客向け通知によれば、流出したデータには生年月日、住所とメールアドレス、電話番号、パスポートおよび運転免許証のコピー、本人確認用の自撮り画像、銀行取引明細書、国際銀行口座番号(IBAN)、出金記録、そしてビットコインの取引履歴を含む取引履歴などが含まれているということです。
Mt. Gox(マウントゴックス)ビットコイン取引所の元CEOであるMark Karpelès氏も、被害を受けたと述べた1人です。
2021年から2022年にかけて発生した一連の類似の侵害事件では、Lapsus$グループとつながりのあるハッカーたちが、侵害した法執行機関のアカウントを使い、偽の緊急データ開示請求を仕立てることで、Apple、Meta、Discordを含むテクノロジー企業からユーザー情報を入手していました。
FBIは以前、不正な緊急データ開示請求に関する注意喚起を発表しており、そうした請求を送信するために侵害されたメールアカウントへのアクセス権を提供するという「犯罪フォーラムでの投稿の増加」を指摘していました。
Revolutは全世界で8,000万人を超える顧客を抱えているとしており、最大2,000億ドルの評価額での株式公開も検討しているとされています。
翻訳元: https://therecord.media/revolut-scam-crypto-impersonation
