Revolutは、不正者が顧客データの提供を同社に騙し取ったと認めた。自社の通知によると、該当データにはパスポート、本人確認用自撮り写真、ビットコイン取引記録などが含まれるという。
この要請は、実在する政府機関のメールドメインと有効な認証情報から送られた。Revolutは正規の要請と判断し、データを開示した。
Revolutの説明
Revolut広報はBeInCryptoに対し、問題を認識次第すぐに送信者をブロックしたと説明した。
「Revolutは最近、正規の政府機関メールドメインを利用した高度な外部なりすまし攻撃を確認した。許可されていない第三者が不正な情報請求を行ったものだ。Revolutのシステムおよび顧客資金には影響がない。」
同社は関係当局、警察、データ保護および金融規制当局に通報した。影響を受けたとするごく一部の利用者にも個別連絡した。
Revolutアカウントは安全か
Revolutは、アカウントは引き続き安全だと説明する。これは事実だ。パスコードやログイン情報、生体データは一切漏洩していないと同行はBeInCryptoに説明した。資金流出もなかった。
ただし、顧客宛に送られた通知は多少異なる文言となっている。本人確認自撮り写真が外部に出たとしており、生体顔認識用のテンプレート（写真から生成される顔情報）のみ漏れていないと記載。写真そのものは対象外と記す。
通知にはそのほかにも以下が記載される。パスポート、運転免許証、住所証明書類、銀行取引明細。ビットコインの入出金記録一式。
同行は警察の捜査中として、どの機関のドメインが使われたか明かしていない。従って、政府系メールボックスが乗っ取られたのか、内部の人物が送ったのか、外部からは判然としない。
ブロックチェーン調査員のZachXBT氏はこの流出をいち早く指摘し、被害が少数の、かつ裕福な利用者層に及んでいるとした。
顧客リストの流出は、フィッシング被害のリスクを高めてきた。住所情報の漏洩が、暗号資産保有者への暴力事件に直結した事例もある。
Revolutは今回を高度な攻撃と説明する。しかし同行の説明によれば、攻撃者は正規の政府メールシステムを悪用し、不正な要請を送信したに過ぎない。Revolutはこれを真正と判断してデータを開示した。
