本社をロンドンに置くフィンテック企業Revolutは、サイバー犯罪者が正規の政府メールアカウントを使用して不正な顧客データ開示要請を提出した結果、680人の顧客に属する機密情報を開示したと、Financial Timesの報道で明らかになった。

流出した情報には、パスポート情報、銀行口座番号、自宅住所、本人確認画像、Bitcoin取引活動が含まれていた。報道によると、攻撃者はRevolutが身代金を支払わなければ盗んだ情報を公開すると脅している。この事件のニュースは、X上でも @WuBlockchain によって取り上げられた。

攻撃者は、従来型の技術的脆弱性を突いて顧客システムに直接侵入するのではなく、政府アカウントの信頼性を利用してRevolutから情報を入手したとされ、公式窓口から発信されたように見える不正なデータ要請を提出した。金融機関は政府機関からの公式データ要請を日常的に受け取り、それに基づいて対応しており、このプロセスは権威ある窓口から届く指示が本物であるという前提に依存している。セキュリティ研究者はこれまでにも、犯罪者が乗っ取られた政府や法執行機関のメールアカウントを使用して企業をだまし、ユーザーデータを引き出させた事例を記録している。

Revolut、侵害された政府メールアカウントを遮断

Revolutは、不正行為を特定した後に当該メールアカウントを遮断し、規制当局と影響を受けた顧客の双方に通知したと述べた。

同社はまた、英国の独立したデータ保護規制機関である英国情報コミッショナー事務所（ICO）からの精査にも直面してお、ICOはこの事件についての調査を開始した。ICOは、データ保護法に違反したと認定された組織に対して経済的制裁を科す権限を持っている。規制当局の関与により、金融機関がデータ要請をどのように認証し、外部当局と対応する際に機密性の高い顧客情報をどのように保護するかに、さらなる焦点が当てられる可能性がある。

影響を受けた者の一人には、Bitcoin取引所Mt. Goxの元CEOであるMark Karpelèsが含まれていた。Mt. Goxは、業界最大級のハッキング事件を受けて2014年に破綻した東京拠点のプラットフォームであり、この事実は流出した顧客情報の範囲の広さを浮き彫りにしている。

流出データに含まれたBitcoin取引活動、暗号資産ユーザーのセキュリティ懸念を喚起

この事件は、流出した情報に従来の金融記録や身元記録に加えてBitcoin取引活動が含まれていたとされるため、暗号資産ユーザーにとって特に重大な意味を持つ。フィンテック企業がこうした情報の多くを保有しているのは、マネーロンダリング対策規則により、サービス提供前に顧客の身元を確認することが義務付けられているためである。

金融情報をパスポート情報、居住住所、本人確認画像と組み合わせることで、影響を受けた個人にとってさらなるリスクが生じる可能性があり、特に攻撃者がその情報をさらなる詐欺や恐喝に利用しようとする場合には注意が必要である。

この一件は、フィンテック企業にとってより広範なセキュリティ上の課題も浮き彫りにしている。攻撃者が信頼された組織のアカウントへのアクセスを得れば、正規の連絡チャネルそのものがソーシャルエンジニアリングの手段となり得るのだ。

侵害されたアカウントの遮断や規制当局・顧客への通知を含むRevolutの対応は、ICOの調査と併せて検証されることになる。残された重要な論点は、不正な要請がどのように認証されたのか、そして同様の情報流出を防ぐために追加の安全対策が必要となるかどうかである。

出典：Hokanews