Revolutは、後に詐欺と判明した緊急の政府要請に応じた後、顧客情報を開示したと伝えられていると、CoinDeskが報じた。開示されたとされる情報には本人確認書類やビットコイン関連の記録が含まれていたが、秘密鍵やシードフレーズ、顧客資金への直接アクセスが流出したとの報告はない。

今回のインシデントは、攻撃者がウォレットを掌握したり、顧客アカウントに侵入したりしたものとは説明されていない。むしろ、Revolutが顧客データの要請を確認している過程で、問題が発生したとみられている。この点で、攻撃者がパスワードや二要素認証などのアカウント保護を突破してから資金や情報にアクセスする典型的な取引所ハッキングとは異なる。

Revolutは関係当局に連絡し、緊急要請が正当なものではないと判断した後、影響を受けたユーザーに通知した。この通知はX上でも公開された。記事執筆時点で、Revolutはより広範な公式声明を発表しておらず、影響を受けたアカウント数も明らかにしていなかったため、インシデントの規模は不明なままだ。

“Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026”

この投稿はX上のMark Karpelèsによって公開され、参照されたURLは

ビットコイン関連記録が重要な理由

CoinDeskによると、開示された資料には本人確認書類、アカウント情報、出金記録、ビットコイン関連の取引履歴が含まれていた。顧客向け通知では、秘密鍵やシードフレーズ、顧客資金への直接アクセスが露出したとは示されていない。

ブロックチェーン上の記録にパスポート情報は含まれない。セキュリティ上の懸念は、規制対象のプラットフォームが保有する記録によって、取引と確認済みの本人情報が結び付く場合に生じる。ウォレットに関する情報、出金の詳細、取引識別子が公開ブロックチェーン上の活動と照合できる場合、その結び付きは、顧客がアカウントのパスワードを変更した後も攻撃者にとって有用であり続ける可能性がある。

Revolutは、顧客の暗号資産エクスポージャーについて社内台帳を管理していると説明している。そのため、報告されたビットコイン取引履歴は、公開ブロックチェーン上のアドレスの完全な一覧ではなく、Revolut内部で記録された活動を指している可能性がある。Revolutは、開示された情報に外部ウォレットアドレス、取引識別子、送付先情報が含まれていたのか、それとも社内アカウント履歴だけだったのかを明らかにすべきだ。これらの情報は露出の度合いがそれぞれ異なり、攻撃者が顧客の本人情報を可視化されたオンチェーン活動とどの程度容易に結び付けられるかにも影響する。

顧客資金が安全でも、なりすましのリスクは高まる可能性

今回のインシデントは、通常の意味でのカストディ侵害とは説明されていない。しかし、詳細な本人情報と活動履歴の組み合わせは、長期にわたる詐欺的な連絡を可能にするおそれがある。ある人物がビットコインを利用したことを知り、その連絡先を持ち、実際の出金について言及できる人物であれば、サポート担当者やコンプライアンス担当者になりすますための、より説得力のある根拠を持つことになる。

同様の懸念は、Bits of Goldの顧客データ侵害の後にも指摘された。資産や秘密鍵にアクセスできない状態が続いていても、本人情報やウォレット関連の記録によって、なりすましの試みはより説得力を増す可能性がある。

詐欺師がこうした情報を悪用するために、シードフレーズを入手する必要はない。代わりにワンタイムコードを要求したり、ウォレットを「安全な」アドレスに移す必要があると主張したり、正規のサポートページを模倣したサイトへ被害者を誘導したりする可能性がある。適切な対応は、急いで送金することではなく、確認と警戒である。

Revolutから通知を受け取ったユーザーは、メールやソーシャルメディアの投稿に含まれるリンクをたどるのではなく、アプリのサポート窓口を通じて確認するか、Revolutの公式サイトに直接アクセスして確認すべきだ。どのデータ項目が開示されたのかを具体的に尋ね、同社の回答のコピーを保管しておく必要がある。

通知を受け取っていないユーザーは、資産を移動したり、自分の情報が流出したと考えたりする必要はない。Revolutの認証済みチャネルを通じたアプリ内メッセージや通知に注意し、復旧用メールアドレスと電話番号のセキュリティを確認するとともに、暗号資産の出金に言及したり、ウォレットを「安全にする」よう求めたりする不審な連絡に警戒すべきだ。

パスワードの変更はアカウントへのアクセスを保護できるが、本人情報の開示を取り消すことはできない。したがって当面の優先事項は、緊急の送金を行うことではなく、なりすましを防ぐことである。本人確認書類の情報が関係していると懸念する人は、身に覚えのないアカウント復旧、コンプライアンス、ウォレット確認に関するメッセージを高リスクとみなすべきだ。正規の担当者がシードフレーズ、パスワード、ワンタイム認証コードを求めることはない。

欧州データ保護委員会（EDPB）は、個人データ侵害の起こり得る結果として、詐欺、個人情報盗難、金銭的損失を挙げている。

未解決の主要な問題は、情報をどの程度結び付けられるかという点にある。Revolutは、開示された記録に外部ウォレットアドレスや取引識別子が含まれていたのか、それとも社内アカウント履歴だけだったのかを説明する必要がある。この情報によって、影響を受けた顧客が一般的な個人情報詐欺のリスクに直面するのか、それとも実名と公開上追跡可能なビットコイン活動との、より長期的な結び付きに直面するのかが決まる。

元の報道はCoindooに掲載された。この記事は情報提供のみを目的としており、法律、金融、サイバーセキュリティに関する助言を構成するものではない。