Revolut、偽の政府要請後にビットコイン活動とパスポートを暴露

デジタル銀行は、詐欺的な政府要請を合法的なものとして扱った後、パスポート、自撮り写真、自宅住所、ビットコイン取引の詳細を含む機密性の高い顧客データを引き渡したが、資金は盗まれなかった。

ロンドンを拠点とし、世界中に4000万人以上のユーザーを持つデジタル銀行Revolutは、巧妙なソーシャルエンジニアリング攻撃の犠牲となった後、重大なデータ侵害を確認しました。同社は、合法的な政府のデータ要請のように見えるものを誤って処理し、法執行機関の職員を装った詐欺師に非常に機密性の高い顧客情報を引き渡しました。

暴露されたデータには、パスポートのコピー、自撮り確認写真、自宅住所、そして仮想通貨ユーザーにとって重要なことに、プラットフォーム上のビットコイン活動の詳細な記録が含まれています。侵害は未公表の数の顧客に影響を与えていますが、Revolutは事件中に顧客の資金が侵害されたり盗まれたりしなかったことを強調しました。同社は、データがすでに送信された後に詐欺的な要請を検出しました。

この侵害は、仮想通貨とフィンテックエコシステムにおける拡大する脆弱性を浮き彫りにしています:合法的なデータ要請プロセスの悪用です。金融機関は法的に政府と法執行機関の要請に応答する義務があり、犯罪者が当局になりすますことに成功した場合、潜在的な攻撃ベクトルを作り出します。ビットコイン取引データの含有は特に懸念されます。なぜなら、仮想通貨を保有していることが知られている顧客に対する標的型フィッシングキャンペーンや物理的なセキュリティ脅威を可能にする可能性があるからです。

Revolutは、攻撃者が偽の要請を認証するために使用した具体的なメカニズムや、彼らが代表すると主張した管轄区域を明らかにしていません。業界の専門家は、攻撃者がおそらく公式のレターヘッドを偽造したか、侵害された政府の電子メールアドレスを使用したか、銀行が法執行機関の要請を認証するために使用する検証手順のギャップを悪用したと示唆しています。必要とされる洗練度は、日和見的なハッカーではなく組織的な犯罪活動を示唆しています。

影響を受けた顧客にとって、仮想通貨活動と組み合わされたパスポートデータの暴露は複数のリスクを生み出します。検証済みの身分証明書により身元盗難が容易になり、ビットコイン保有の知識により個人はSIMスワップ攻撃、フィッシングの試み、さらには物理的な脅威の標的になります。セキュリティ研究者は、影響を受けたユーザーに追加の認証層を有効にし、信用報告書を監視し、高額な仮想通貨保有に関連する住所の変更を検討することを推奨しています。

この事件は、複数の管轄区域で銀行ライセンスを追求しており、急速な成長とコンプライアンス慣行に対する規制上の監視が強化されているRevolutにとって敏感な時期に発生しています。同社は年間数十億の仮想通貨取引を処理し、従来の銀行業務とデジタル資産の間の橋として自らを位置付けています。この侵害は、規制当局にフィンテック企業が政府のデータ要請をどのように検証し対応するかを調査させる可能性があります。

Revolutは、関連するデータ保護当局と法執行機関に事件を報告し、将来の政府要請に対する追加の検証手順を実装していると述べました。同社は影響を受けた顧客に直接通知し、信用監視サービスを提供しています。業界観察者は、データ要請プロセスを標的とした同様のソーシャルエンジニアリング攻撃が他の金融機関に影響を与えたことを指摘しており、これが1つの企業での孤立した事件ではなく、セクター全体で新たな脅威ベクトルを表している可能性を示唆しています。