- Revolutが政府機関を偽装したメールに騙され、顧客の機密データを攻撃者に流出させました
- 流出情報には身分証明書、自撮り写真、口座明細書、IBAN、取引履歴全体が含まれます
- 犯罪者らはTelegramでデータの流出を始めたとされ、Revolutに10,000BTC（約7億8,000万ドル）の身代金を要求しています
デジタル銀行プラットフォームのRevolutが、ハッカーにだまされて顧客の機密データを大量に渡してしまい、今その代償を払うことになっています。
同社はTechCrunchに対し、最近「高度な外部なりすまし詐欺」の被害に遭ったと説明しています。攻撃者は「正規の政府機関ドメインのメールアドレスを利用して、情報開示を求める不正なリクエストを送信した」としています。
つまり攻撃者は、警察や税務当局、あるいは情報開示を求める法的権限を持つその他の政府機関に属するメールアドレスに侵入するか、それを偽装するかして、Revolutに顧客の機密データを引き渡すよう要求したのです。
身代金の要求
Cybernewsの報道によると、流出したデータには顧客の生年月日、住所やメールアドレス、職業、電話番号、身分証明書のコピーが含まれています。さらにTechCrunchは、本人確認用の自撮り写真、口座明細書、取引履歴も流出した可能性があるとし、IBAN、出金記録、完全な取引履歴、ビットコイン取引の記録も含まれていると付け加えています。
これらの報道が事実であれば、Revolutにとってはまさに大失態ということになります。
「検知後、私たちは直ちに当該アドレスをブロックし、関係する政府機関に加え、法執行機関、データ保護当局、金融規制当局にも通報しました」と、同社の広報担当者は週末にReutersに語りました。
現時点では、影響を受けた人数は正確には分かっていません。Revolutは「非常に限られた」人数であるとし、対象者にはすでに全員通知済みだとしています。
Coin Bureauによると、犯罪者らはRevolutに身代金支払いを迫るため、Telegram上で機密データの流出を開始したとのことです。同メディアは、あるクリプトカジノサイトのCEOの自撮り写真と「完全なKYC情報」を犯罪者側が流出させたとみられるスクリーンショットを公開し、犯人グループがデータ削除と引き換えに10,000BTCを要求していると伝えています。
これはおよそ7億8,000万ドルの身代金要求に相当し、犯罪の世界の基準に照らしても常軌を逸した金額です。
Huntressのヴァーチャル最高情報セキュリティ責任者（vCISO）兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、次のように述べています。「今回のケースは極めて深刻で、影響を受ける顧客にとっての意味合いは、通常のデータ漏えい通知の範囲をはるかに超えています。パスポート、運転免許証、本人確認用の自撮り写真、口座明細書、取引履歴、生年月日、住所――これはもはやデータ漏えいではなく、不正な情報開示要求を送りつけてきた相手に完全な『なりすまし犯罪キット』を手渡したようなものです」。
「誰かになりすます、その名義で口座を開設する、あるいは他の金融機関の本人確認をすり抜けるために必要な要素が、すべてこの一式に揃っています。ダークウェブでは、この種のプロファイルは個々のレコードとしてではなく、完成品の詐欺パックとして売買され、その完全性ゆえに高値が付くのです」。
Patel氏は次のように結論付けています。「デジタル本人確認を事業の核とするフィンテック企業であればこそ、第三者からの情報開示要求を検証する基準は極めて高くなければなりません。問われるべきは、なぜ攻撃者がこの手口を試みたかではなく、高度に機密性の高いデータを扱う規制対象の金融機関が、なぜそれを見抜けるだけの厳格な検証体制を備えていなかったのか、ということです」。
