Revolutは、正体不明の第三者が顧客情報を求める不正な請求を提出したデータ漏えいを確認した。攻撃者は正規の政府ドメインにあるメールアカウントを利用し、本人確認書類のコピーとBitcoinの完全な取引履歴を取得した。

英国のデジタル銀行であるRevolutは、当座口座、決済、証券取引、暗号資産サービスを1つのアプリに統合している。同社の暗号資産事業には、独立した取引プラットフォームのRevolut Xと、ユーロ建てステーブルコインのEURRも含まれる。同社によると、2026年8月時点で世界全体の顧客数は8,000万人に達していた。

今回の漏えいは、Revolutが規制対象の銀行事業と暗号資産事業を拡大する中で発生した。2026年9月初旬、米国の銀行規制当局である通貨監督庁（OCC）は、同社に対して国法銀行免許の条件付き承認を与えた。8月には、Revolutがデンマーク、ポーランド、ポルトガルでEURRステーブルコインの展開を開始していた。

影響を受けた顧客には、2026年9月に通知メールが送られた。Revolutは、関係した口座数や、攻撃者が装った当局を明らかにしていない。

不正な請求がRevolutを欺いた仕組み

セキュリティ研究者は、緊急措置を根拠としたユーザーデータへの不正請求を2021年以降記録している。この手口は、業界ではFraudulent Emergency Data Request（不正な緊急データ請求）として知られている。犯罪者は通常、実在する警察または政府機関のドメインに関連するメールアカウントを乗っ取るか、なりすます。その後、そのアカウントを使い、緊急事態への即時対応が必要だと主張してユーザーデータを請求する。

緊急時の例外措置では、通常は裁判所命令を伴う通常の審査プロセスが回避される。そのため企業は、30〜60分以内に対応することがある。この速さが、攻撃者にとって手続きを魅力的なものにしている。Apple、Meta、Discord、Verizonは過去にこの手口の被害に遭っており、当初はLapsus$とRecursion Teamのグループが関与していた。2024年には、FBIがこの手口について公式に警告を発した。

Revolutのケースでは、攻撃者は正規の政府ドメインにあるアカウントを利用した。同社の広報担当者はTechCrunchに対し、今回の事案を高度な外部なりすまし詐欺と説明した。デジタル銀行はその後、不正なアドレスを遮断した。Revolutによると、今回の事案は同社のシステムにも顧客資金にも影響を与えていない。報道時点で、同社はこの件に関する別個の声明を公表していなかった。TechCrunchによる報道はこちら:

「Revolutは最近、権限のない第三者が正規の政府ドメインのメールを利用し、情報を不正に請求していた高度な外部なりすまし詐欺を確認した」— TechCrunchに対するRevolut広報担当者のコメント

Revolutは、影響を受けた当局、法執行機関、データ保護規制当局、金融監督当局に通知したと説明した。しかし、攻撃者が装った当局は明らかにしていない。また、攻撃者が政府機関のメールアカウントを侵害したのか、技術的にドメインを偽装したのかも不明だ。過去の事例では、両方の手法が使われている。

この手法は、公式な情報請求に日常的に対応する金融機関にとって、特に大きな課題となる。緊急請求を別の通信経路で確認するには、緊急手続きが想定する時間より長くかかる可能性がある。

流出した可能性のある情報

顧客への通知には、流出した可能性のある幅広い情報が記載されている。氏名、生年月日、住所、メールアドレス、電話番号が含まれる。また、パスポートや運転免許証などの本人確認書類のコピーに加え、本人確認（KYC）手続きで収集された確認用セルフィー、口座明細、完全な取引履歴にも言及している。

したがって、情報の範囲は規制対象の銀行が保有するオンボーディング情報や口座履歴の大部分に及ぶ。Revolutはそれでも、直接通知した顧客数は限定的だと説明している。同社によれば、顧客資金は影響を受けていない。

暗号資産取引所Mt. Goxの元CEOであるMark Karpelèsは、通知書のコピーを公開し、自身も影響を受けた顧客の1人だと述べた。彼が公開した版には、IBAN、出金ログ、Bitcoin取引を含む完全な取引履歴も追加で記載されていた。これにより、個々の顧客の銀行口座とBitcoinの活動を結び付ける情報が露出する可能性がある。

オンチェーン調査員のZachXBTは、影響範囲は限定的と評価した一方、攻撃者が比較的裕福なユーザーを選んだ可能性を指摘した。また、今回の事案が複数の市場に影響したのかも依然として不明だ。

一般データ保護規則（GDPR）第33条および第34条に基づけば、本人確認書類、生体情報を含むセルフィー、完全な金融履歴に関わる事案は、影響を受けた個人への通知が必要となる高リスクの漏えいに該当する可能性がある。RevolutがRevolut Bank UABを通じて欧州の銀行免許を保有しているため、リトアニアの国家データ保護監察局（VDAI）が管轄権を持つ。同法人はリトアニア銀行と欧州中央銀行（ECB）の監督下にもある。広報担当者の説明からは、Revolutが監督当局に最初に通知した時期は明らかになっていない。

KYC情報とBitcoin情報の組み合わせが生むセキュリティリスク

本人確認書類、住所、保有Bitcoinの可視化された情報を含むデータセットは、単なるプライバシー上の懸念にとどまらない。それは標的リストとして機能し得る。暗号資産業界では、このような情報の組み合わせは、いわゆるwrench attack（物理的な脅迫攻撃）を可能にする要素とみなされている。これは、犯罪者が物理的な強制によって被害者に暗号資産へのアクセスを引き渡させる攻撃だ。

ある人物がどれだけBitcoinを保有し、どこに住んでいるかを知っていれば、技術的な攻撃を仕掛ける必要がない可能性がある。本人確認書類のコピーやセルフィーは、他のアカウントの乗っ取りも容易にする。銀行は盗まれたカード番号を交換できるが、露出した身元情報を交換することはできない。

報告された事例数は急増している。CertiKの報告書によると、2026年上半期には52件の確認済みのwrench attackがあり、損失額は約1億2,410万USDに達した。前年同期は39件で、件数は33%増加したことになる。前年の損失額は1,000万USD強だった。したがって、金銭的被害の増加幅は事例数の増加幅を大きく上回った。本人確認書類や住所は、犯罪者にとって何年にもわたって利用可能な情報であり続ける可能性もある。

Revolut、相次ぐ暗号資産関連データ漏えいの一例に

Revolutの事案は、暗号資産企業に関わる複数のデータ漏えいに続くものだ。2026年8月には、ウォレット提供企業SafePalでの漏えいにより約39,798人の顧客が影響を受けたが、秘密鍵と残高は流出しなかった。Trezorでは、約67,000人の米国顧客に関する情報が配送サービス事業者ShipMonkを通じて流出した。ハードウェアウォレットメーカーのメールサービス提供企業で発生した別の漏えいでは、正規のTrezorドメインを利用したフィッシングも可能になった。いずれのケースでも、攻撃対象となったのはメーカーが利用するサービス提供企業だった。

近年で最大の先例は、2025年5月のCoinbaseの事案だった。海外の買収されたサポート担当者が、約70,000人の顧客情報を提供した。データには氏名、住所、本人確認書類の画像、取引履歴、口座残高が含まれていた。恐喝者は2,000万USDを要求したが、Coinbaseは支払わなかった。同社の復旧・対応費用は最終的に1億8,000万USDから4億USDに達したと推定され、事後費用は要求額の何倍にもなった。2026年初頭には、約30人の顧客が影響を受けた、より小規模な内部関係者による事案がCoinbaseで発生した。

これらの事案で攻撃者が狙ったのは、暗号資産の直接的なカストディではなく、顧客データベースへのアクセスだった。暗号資産関連の事業者は、規制上の理由から特に包括的な本人確認情報を収集している。そのため、セルフカストディはこの種の情報露出に対して部分的な保護にしかならない。本人確認情報の多くは登録時点ですでに収集されているからだ。

Revolutにとっては、今回のタイミングが規制当局の監視を強める要因となる。同社のOCCによる条件付き承認とEURRの展開は、データ漏えいに関する調査が始まったばかりの時期に行われている。残された事実上の疑問には、アクセスされた口座数、事案が複数市場にまたがったかどうか、不正な政府機関の身元情報がどのように取得または偽装されたのか、そして関係当局がRevolutの対応と通知手続きについてどのような結論を出すのかが含まれる。