偽の政府メールにより、Revolutが顧客のビットコイン記録を開示
重要ポイント
- •開示された情報には、氏名、連絡先、本人確認書類、口座明細、IBAN、出金記録、完全な取引履歴が含まれていました。
- •流出した記録にはビットコインウォレットの照会情報と取引履歴が含まれていましたが、秘密鍵、パスワード、決済カード情報全体は開示されていませんでした。
- •Revolutは影響を受けた顧客数を確認しておらず、無許可の請求者が政府機関のメールドメインへアクセスした方法も説明していません。
- •同社は規制当局に通知したかどうかや、不正な要請が管理体制をどのように通過したのかを明らかにしていません。
- •今回の事件は、Revolutが取得した米国銀行認可の条件付き承認およびEURRステーブルコインの開始とは別のものです。
Revolutは、正当な政府要請だと考えていた依頼を受けた後、ビットコインの取引履歴を含む顧客データを無許可の第三者に開示しました。この要請には政府機関の公式メールドメインが使われ、標準的なドメイン認証チェックを通過していました。
同社は、メッセージが本物に見えたため要請に応じたと説明しています。Revolutは、どの機関のドメインが使われたのか、また無許可の送信者がどのようにそのドメインへアクセスしたのかを明らかにしていません。
⚠️ ALERT: Revolut falls for a FAKE government request, exposing sensitive personal information of customers in a disturbing data breach. Revolut disclosed that it complied with a fraudulent government request using a spoofed official email and valid credentials, exposing PII… pic.twitter.com/3RPO6OYs1N
— Coin Bureau (@coinbureau) September 12, 2026
https://x.com/coinbureau/status/2098684872395301092?ref_src=twsrc%5Etfw
どのようなデータが流出したのか
開示された記録には、顧客の氏名、生年月日、職業、郵便住所、メールアドレス、電話番号など、幅広い個人情報および金融情報が含まれていました。
パスポートや運転免許証などの本人確認書類も、本人確認時に提出された自撮り写真とともに共有されました。Revolutは、生体顔認証テレメトリデータは含まれていなかったと説明しています。
開示情報の大部分は金融情報でした。無許可の請求者に送られた記録には、口座明細、IBAN、口座開設日、出金記録、完全な取引履歴が含まれていました。
口座明細にはビットコインウォレットの照会番号が記載され、開示された記録にはビットコインの取引履歴も含まれていました。これにより、暗号資産ユーザーの金融活動が身元と結び付く可能性があります。
Revolutは、秘密鍵、口座パスワード、決済カード情報全体は含まれていなかったと述べています。
影響を受けたのは誰か
オンチェーン調査担当者のZachXBTは、9月11日に顧客向け通知をTelegramで共有しました。同氏は、事件の規模は限定的に見え、富裕層が標的になった可能性があると述べています。Revolutは、影響を受けた顧客数を確認していません。
Revolutは世界で8,000万人を超える顧客にサービスを提供しています。ただし、この数字は全ユーザー数を示すものであり、今回の事件に関係する人数を示すものではありません。顧客向け通知でも、影響を受けたすべての顧客が各種類の記録を保有していたのか、また対象者がどのように選ばれたのかは明らかになっていません。
規制およびセキュリティ上の背景
英国情報コミッショナー事務局（UK Information Commissioner’s Office）は、データ侵害がなりすまし、詐欺、金銭的損失につながる可能性があるとしています。規制当局は、組織に対して一定のデータ侵害を72時間以内に報告し、影響を受けたユーザーへ速やかに通知するよう求めています。
ZachXBTが共有した通知のスクリーンショットからは、Revolutが規制当局に通知したかどうか、また同社が要請が不正だったと認識した時期は確認できません。Revolutは顧客向け通知以外に公のコメントを出しておらず、メールドメインが使われた機関も明らかにしていません。影響を受けた顧客数、規制当局への通知の有無、不正な要請が同社の管理体制をどのように通過したのか、追加の記録が関与していたのかを明らかにするには、今後の公表情報が必要になります。
今回の開示は、Revolutがサービスを拡大している時期に発生しました。9月3日、同社は米通貨監督庁（Office of the Comptroller of the Currency）から米国銀行認可に関する条件付き承認を取得しました。8月には、ユーロ連動型ステーブルコインEURRを一部の欧州顧客向けに開始しました。
これらの動きは今回のデータ開示とは別のものです。Revolutは、影響を受けたユーザーに米国在住者が含まれているとは明らかにしていません。
Source: https://coincentral.com/fake-government-email-fooled-revolut-into-handing-over-your-bitcoin-records/
