銀行免許の取得と約2,000億ドルの企業価値を目指す英国のフィンテック企業Revolutは、政府当局者を装った人物に顧客の機密データを開示しました。攻撃者はRevolutのシステムに侵入せず、説得力のあるメールを使って情報の提供を求めました。

Revolutはこの事案を「高度な外部なりすまし詐欺」と説明しました。流出した情報には、本人確認書類、本人確認用の自撮り写真、氏名、生年月日、連絡先、IBANなどの財務記録、出金履歴、Bitcoin関連の取引活動が含まれていました。同社は2026年9月11日に顧客への通知を開始しました。この事案はCryptoBriefingが報じました。

偽のメールがセキュリティチェックを通過した経緯

この情報提供依頼は、正規の政府機関が使用するメールドメインから送信されたように見えました。さらに重要な点として、送信者の身元とメッセージの完全性を確認するために使われる3つのメール認証プロトコル、SPF、DKIM、DMARCのチェックを通過しました。

SPFは、メールが認証済みのサーバーから送信されたことを確認します。DKIMは、送信途中でメッセージが改ざんされていないことを検証します。DMARCはこれらのチェックを連携させ、いずれかが失敗した場合に受信者がどのように対応すべきかを指定します。今回は3つすべてのチェックに合格しました。

その結果、Revolutのコンプライアンスチームには、依頼を本物と判断する技術的な根拠がありました。同チームは依頼を処理し、Revolutの内部システムにアクセスすることなく、有効な認証情報に見えるものを作成した不正な第三者に顧客記録を提供しました。

パスワードは盗まれておらず、PINや秘密鍵も侵害されませんでした。Revolutは、顧客資金も移動されていないと説明しています。ただし、公式なデータ請求を処理する同社の手続きを通じて、個人情報と財務記録が開示されました。

流出した記録にはBitcoinの取引データも含まれる

Bitcoinの取引履歴が含まれていたことで、今回の事案には暗号資産に特有の側面が加わりました。この情報は本人確認書類や本人確認用の自撮り写真と組み合わさることで、悪意ある人物に、なりすまし詐欺、ソーシャルエンジニアリング、暗号資産保有者を標的としたフィッシング攻撃に利用できる材料を与える可能性があります。

Revolutは影響を受けた顧客数を「限定的」と説明しましたが、正確な人数は公表していません。暗号資産業界の著名人を含む影響を受けた個人が、受け取った通知の詳細を共有したことで、この事案への認知が広がりました。

攻撃の標的はコンプライアンス手続き

今回の事案には、ゼロデイ攻撃やデータベースの侵害は関与していませんでした。実際には、政府当局からの正式なデータ請求に対応するRevolutのコンプライアンス業務フローを標的としたソーシャルエンジニアリング攻撃でした。

Revolutは不正に使用されたメールアドレスをブロックし、法執行機関と関連する規制当局に通知しました。同社は、システムは引き続き侵害されておらず、顧客資金にも影響はなかったと説明しています。

銀行免許と上場に向けた取り組みの中で発生

今回の開示は、Revolutが銀行免許の取得を目指す中で行われました。この手続きでは、機密性の高い顧客情報の取り扱いなど、業務管理体制が規制当局による審査の対象となります。同社はまた、約2,000億ドルを目標評価額とする上場も検討しています。