グローバルフィンテック企業Revolutに対する最近のデータ侵害の背後にいるハッカーは、要求した200ビットコインを24時間以内に受け取れない場合、盗んだ情報を他の犯罪組織に売却すると脅しています。同社は、この一件はシステムへの直接侵入ではなく、不正ななりすまし手法に起因するものであり、身代金を支払う意向はないと述べています。

ハッカー、6,000 XMRを要求

Financial Timesによると、攻撃の背後にいる「iamnotavillain」と名乗るグループは、カウントダウンタイマーとともに要求をオンラインで公開しました。要求額は6,000 XMRで、報道時点で約300万ドル相当でした。カウントダウン形式の期限は、標的の意思決定時間を圧迫するために用いられる、恐喝における典型的な圧力手法。

暗号資産関連の恐摘事件において、モネロが選択された点は注目に値します。取引がオンチェーンで公開的に閲覧可能なビットコインネットワークとは異なり、モネロは取引時のプライバシーを高めるよう設計されており、支払いの追跡が大幅に困難になります。このプライバシー重視の性質こそが、プライバシーコインが恐喝の支払いに繰り返し選ばれてきた理由です。

Financial Timesによると、ハッカーは要求の公開時点までRevolutとの接触がなかったと述べています。このグループはまた、事件で収集されたとされる顧客データのスクリーンショットとみられる短い動画も投稿しました。

約680件の顧客アカウントが影響

報道によると、約680件の顧客アカウントに関連するデータがこの侵害で盗まれたとされています。Revolutは、今回の一件は中核システム、データベース、顧客アカウントへの直接侵入を伴わなかったと述べています。代わりに、攻撃者は実際の政府機関に接続されたメールアプリケーションを利用して偽の要求を提出したとされています。要求は公式の業務要求として装われており、Revolutは不正なものであると判明する前に記録を引き渡しました。組織を騙してデータを引き渡させるために公式窓口を装う手口は、企業のインフラを侵害することなく成立する、知られたソーシャルエンジニアリングの攻撃手法です。

漏えいした資料には、パスポート、運転免許証、本人確認用画像、取引履歴が含まれていたと報じられています。一部の記録には、顧客の暗号資産取引に結びつく追加情報も含まれていました。漏えいしたパスワードとは異なり、身分証明書は再発行・リセットができません。そのため、漏えいした本人確認資料は、事件の直接的な影響期をはるかに超えて犯罪者にとって価値を持ち続ける可能性があります。

Revolutは、問題のアドレスをブロックし、所轄の政府機関、法執行機関、規制当局に通報したと述べています。

暗号資産保有状況攻撃者の標的選定に利用

ブロックチェーン分析が使用されたとされる点は、この侵害に暗号資産特有の要素をもたらしています。ハッカーはブロックチェーン上の取引を分析し、大量の暗号資産を保有していると疑われるRevolut利用者を特定したと報じられています。

公開ブロックチェーンはウォレットの動きや取引フローを示すことができるものの、ブロックチェーンアドレスを特定の個人に結びつけるには、通常、取引所や金融サービスから得られるはるかに多くの情報が必要です。本件では、ブロックチェーン取引データと盗まれた顧客記録の組み合わせにより、攻撃者が利用者の身元と暗号資産資産を明確に把握できた可能性があります。標的選定に関する詳細は、第三者による検証はされていません。この一連の事例は、取引所やフィンテック企業が、身元記録とオンチェーン上の活動の紐付けを最も機密性の高いデータの一つとして扱う理由を示しています。

Revolut、犯人グループとの直接接触を否定

攻撃者が公表した内容とRevolutの報告には食い違いがあります。同社は、犯行を主張するグループから直接の接触はなく、身代金を支払う意向もないと述べています。Revolutはさらに、影響を受けた顧客を支援しているとし、今回の一件は外部によるなりすまし手法の結果であると説明しました。

今後の焦点は、期限が過ぎた後にグループが脅しを実行に移すかどうか、またRevolutが実施したとされる法執行関・規制当局への通報から何が明らかになるかに移っています。

今回の漏えいは、暗号資産分野の利用者が直面する特有の懸念を浮き彫りにしています。個人を特定できるデータは、ブロックチェーンに関連する金融情報と組み合わされると、犯罪者にとって特に有用なものとなり得ます。こうした情報は、標的型フィッシング、なりすまし、あるいはデジタル資産へのさらなる不正アクセスの試みに悪用される可能性があります。