英国のフィンテック企業Revolutは9月12日、正規の政府機関を装ったメールアドレスから不正なデータ請求を受け、機密性の高い顧客情報を開示したと確認した。

なりすましメールは、メールが認証済みの送信元から送られたものか、また内容が改ざんされていないかを確認するためにメールサーバーが使用する主要な3つのプロトコル、SPF、DKIM、DMARCの認証チェックを通過していた。これらのチェックはメールの技術的な送信元と完全性の検証には役立つが、請求が実際に名乗っている政府機関からのものだと証明するものではない。Revolutはこの事案を「高度な外部なりすまし詐欺」と説明した。

流出したデータと標的となった顧客

侵害された情報には、顧客の氏名、生年月日、連絡先、本人確認書類のコピー、取引履歴、口座明細が含まれていた。Revolutは、生体認証による顔のテレメトリーデータは共有されず、顧客資金も盗まれず、中核的な銀行システムも侵害されていないと説明した。

同社は影響を受けた利用者の正確な人数を明らかにしていない。報道によると、純資産の大きい個人の一部が特に標的にされた可能性がある。オンチェーンアナリストのZachXBTは、今回の事案は規模が限定的だったようだと述べた。顧客への通知は、Revolutが流出を公表する前日の9月11日ごろから広まり始めていた。

不正な請求がメールの安全対策を通過した仕組み

SPFは、送信サーバーがドメインに代わってメールを送信する権限を持っているかを確認する。DKIMは、送信中にメールの内容が改ざんされていないかを検証する。DMARCはこれらのチェックを連携させ、認証に失敗したメッセージを受信サーバーがどのように扱うかを指示する。

こうした安全対策があったにもかかわらず、不正なメールは3つすべてのプロトコルを通過した。Revolutは、不正なメールアドレスを遮断し、規制当局と法執行機関に連絡するとともに、身元を悪用された政府機関にも連絡したと説明した。同社は、その政府機関名を公表していない。

今回の事案は、機密性の高いデータ請求に対して、認証済みメールだけでは完全な検証手続きにならないことを示している。メールは技術的なチェックを通過していたが、請求自体は不正だったため、規制当局、法執行機関、そしてなりすまされた政府機関への追加対応が、継続中の対応の一部となっている。

過去のセキュリティー事案

今回の流出は、Revolutにとって初めてのデータセキュリティー事案ではない。2022年には、数万人の顧客に影響する情報流出が発生した。この事案では、従業員に対するソーシャルエンジニアリングを通じて不正アクセスが行われた。今回の事案は、個々の従業員の認証情報ではなく、コンプライアンスプロセスそのものを標的にした点が異なる。

今回の事案は、Revolutが欧州全域およびその他の地域で事業拡大を進め、株式上場に向けた意欲を示す中で発生した。顧客にとって当面のリスクは、金銭面というより情報面にある。本人確認書類や取引履歴は、個人情報の窃取、標的型フィッシング、ソーシャルエンジニアリング攻撃に利用される可能性がある。

出典: CryptoBriefing