Revolutを攻撃したハッカーは、恐喝だけでは満足せず、顧客の個人情報を公開し始めた。サイバーセキュリティコミュニティのInternational Cyber Digestは9月13日、Xで、ハッカーがテニス選手のAlexander Shevchenkoと、Gamdom CEOのFelix Römerの身分証明書のコピーを公開したと明らかにした。ハッカーは、今後も毎日継続的に情報を流出させると脅迫している。
Gamdom CEOとテニス選手のパスポートセルフィーが流出
サイバーセキュリティコミュニティのInternational Cyber Digestは9月13日、X上で、Revolutを攻撃したハッカーが正式に第2段階へ移行し、顧客のパスポートセルフィーや身分証明書のコピーを公開し始めたと明らかにした。現在、公開されたことが確認されている被害者には、テニス選手のAlexander Shevchenkoと、オンライン暗号資産カジノGamdom（およびSkinscom）のCEOであるFelix Römerが含まれている。
ハッカーはTelegramで、Revolutが「支払って片を付ける」まで、毎日さらに多くのデータを公開し続けると宣言しており、今回の事件が水面下の恐喝から、公開による圧力へとエスカレートしたことを示している。
Revolutが攻撃手法を説明：政府の公式ドメインを悪用したなりすまし詐欺
Revolutは土曜日、Cointelegraphに対し、今回の事件の原因は「高度な外部なりすまし詐欺」（sophisticated external impersonation scam）だったと説明した。ハッカーは実在する政府機関の公式ドメインを使って詐欺メールを送信し、Revolutに顧客情報を要求する正当な捜査依頼を装った。メールは一般的なフィッシングメールで使われる類似ドメインではなく、正規の政府ドメインから送られていたため、Revolutのコンプライアンスチームは正規の政府による捜査要請だと誤って判断し、関連する顧客情報を提供した。
これは、関係する政府のメールシステムがハッキングまたは乗っ取られていた可能性を意味し、事件の影響範囲が一般的な企業のサイバーセキュリティインシデントを超えていることを示している。Revolutによると、影響を受けたのは「限られた数」の顧客であり、同社のシステムと顧客の資金には影響がなかった。
Revolutが影響を受けた利用者に通知した6種類の流出個人情報
Revolutは金曜日、影響を受けた利用者に対し、流出したデータには以下の6種類が含まれると説明した。
· 氏名、生年月日、職業
· 連絡先情報：メールアドレス、電話番号、住所
· アカウント明細および完全な取引履歴
· ビットコインの取引履歴（売買金額、日時）
· 本人確認用セルフィー（facial-verification selfies）
· 身分証明書のコピー：パスポート、運転免許証など
これは、ハッカーが基本的な身元情報だけでなく、顧客のRevolut上での金融活動の全体像も把握していることを意味する。日常の支出から暗号資産の売買まで、あらゆる情報が含まれており、本人確認用セルフィーと完全な個人情報が組み合わさることで、なりすましや個人情報窃取につながる非常に高いリスクが生じる。
ビットコイン取引履歴の流出が暗号資産コミュニティに特別なリスクをもたらす理由
Revolutは現在、法定通貨口座と暗号資産の売買を同じアプリに統合している数少ないデジタル銀行の一つである。Revolut上での利用者のビットコイン取引履歴、保有量、売買のタイミングがすべて流出したことは、ハッカーが顧客の暗号資産保有状況を完全に把握できることを意味する。
今回の被害者にはGamdom CEOのFelix Römerが含まれている点にも注目すべきである。これは、ハッカーが交渉材料を増やすため、暗号資産業界の人物を意図的に狙って情報を流出させている可能性を示している。Revolutで暗号資産取引を行っている利用者については、BTCの取引履歴、売買金額、日時がすでにハッカーの手中にあるため、信用情報やアカウントの動きを注意深く監視することが推奨される。
今後注目すべき3つのポイント
ハッカーが毎日継続的に情報を流出させると宣言するなか、以下の3つのポイントを引き続き追跡する必要がある。第一に、Revolutがハッカーと接触するのか、あるいは身代金を支払うのかという点である。金融機関が恐喝にどう対応するかが、今後の焦点となる。第二に、悪用された「政府の公式ドメイン」がどの国の政府機関に属するものなのかという点である。これは当該国政府のサイバーセキュリティ上の脆弱性に関わるため、外交および規制面での追加調査につながる可能性がある。
第三に、英国金融行為監督機構（FCA）やその他の規制当局が、この件を受けてRevolutに罰金を科すかどうかという点である。攻撃の発端は政府のメールが偽装されたことだったものの、Revolutが政府からの捜査依頼を受け取った際の検証プロセスが十分に厳格だったかどうかについては、引き続き精査されることになる。
よくある質問
Revolutの情報流出事件で流出したデータの種類と、影響を受けた著名人は？
流出したデータには、氏名、生年月日、連絡先情報、完全な取引履歴、ビットコインの取引履歴、本人確認用セルフィー、パスポート／運転免許証のコピーが含まれる。現在、影響を受けたことが確認されている著名人には、テニス選手のAlexander ShevchenkoとGamdom CEOのFelix Römerが含まれている。
ハッカーはどのようにしてRevolutの顧客情報を入手したのか？
RevolutがCointelegraphに説明したところによると、ハッカーは実在する政府機関の公式ドメインから詐欺メールを送信した。Revolutのコンプライアンスチームがそれを正規の政府による捜査依頼だと誤って判断した後、顧客情報を提供したためであり、関係する政府のメールシステムがハッキングされていた可能性を意味する。
ハッカーがデータを公開した後に出した脅迫と、Revolutの公式見解は？
ハッカーはTelegramで、Revolutが「支払って片を付ける」まで、毎日さらに多くのデータを公開し続けると宣言した。Revolutは、影響を受けたのは「限られた数」の顧客であり、同社のシステムと顧客の資金には影響がなかったと説明しているが、ハッカーの要求に応じるかどうかについてはまだ態度を明らかにしていない。
