フィンテック企業Revolutは、犯罪者からMoneroで300万ドルの身代金を24時間以内に支払わなければ、数百人の顧客の身分証明書および取引記録が他の犯罪者に販売されるとする最後通牒を受けた。Financial Timesが報じた。

「iamnotavillain」を名乗るこのグループは水曜日、専用に開設したウェブサイト上で要求を掲載し、「6,000 XMR / $3,000,000」を求め、支払いがなければ「すべてのデータが販売され、その責任はあなたにある」と警告した。この手法はデータ恐喝であり、システムのロックではなく盗み出したファイルそのものが交渉材料となっている。

この侵害事件の際立った点は、被害者の選び方だ。グループはFTに対し、まずブロックチェーン分析を実施して、オンチェーン活動から大きな保有額が示唆されるRevolut顧客を特定し、その後それらの特定の口座を標的にしたと語った。

Moneroはプライバシーコインであり、リング署名とステルスアドレスを用いて送金者、受取人、金額の情報を隠蔽する。Binance、Coinbase、Krakenをはじめとする主要な暗号資産取引所はこの資産を上場廃止している。

ブロックチェーン分析企業TRM Labsによると、恐喝グループはこのトークンを要求し、この通貨での支払いに応じた被害者には要求額を割り引くこともあるが、身代金ほとんどは依然としてBitcoinで決済されており、同社はこれを「大規模に取得、移動、換金するのがはるかに容易だ」と表現している。

Revolutへの侵害

Revolutは自らデータを引き渡した。政府機関の本物のメールドメインから届き、有効な認証を伴う情報請求に応答した形だ。同社はこの事件を「高度な外部なりすまし詐欺」と説明している。

FTの報道によると、これらの請求は不正侵入されたイタリア政府のメールシステムを通じて行われ、数か月にわたり続き、少なくとも680口座が影響を受けた。

盗まれたデータは広範にわたり、氏名、生年月日、職業、自宅住所、パスポートまたは運転免許証のコピー、本人確認のために顧客が提出した自撮り写真、IBANやウォレット参照を含む口座明細、出金記録、完全な取引履歴が含まれていた。Revolutのようなフィンテック企業がまさにこの種の情報を保有するのは、口座開設前に本人確認を義務付けるKYC規制があるためであり、パスワードと異なり、パスポート番号は一度漏えいするとリセットできない。ハッカーはその後、FTにファイルの画面録画を見せた。

顧客への通知を最初に拡散したブロックチェーン調査者のZachXBTは、この侵害は「高資産ユーザーを標的としたもの」に見えると述べており、これはグループ自身の被害者の選び方の説明と一致する。確認済みの身元、自宅住所、証明済みの保有資産という組み合わせは、暗号資産を保有することが知られる人々への暴力的なレンチ攻撃の増加の背景にある特徴であり、犯罪者が暗号資産の引き渡しを強要する物理的な暴行を指す。

Revolutは水曜日の夜、「こうした主張を行っている個人またはグループから、いかなる直接の接触や要求も受けていない」と述べた。同社は影響を受けた顧客数を「限定的」とし、顧客資金およびシステムは影響を受けていないと説明しているが、関係する政府機関の名前の公表は拒否している。24時間の期限が支払いなしに過ぎるか、そして当初の請求の背後にある政府機関の名前が明らかになるかどうかは、まだわからない。