概要
英国のフィンテック大手Revolutは、正規の政府機関のメールドメインを悪用したなりすまし攻撃を受け、顧客の機微情報が攻撃者に渡ったことを明らかにした。攻撃者は「有効なドメイン認証情報」を伴うメールでRevolutに顧客データの開示を要求し、同社は「本物の政府機関からの正当な要請である」と合理的に信じて対応してしまったという。流出したのはパスポートや運転免許証の写し、本人確認用のセルフィー画像、氏名・生年月日・職業、住所・メールアドレス・電話番号、口座明細書やIBAN番号、暗号資産取引を含む取引履歴など、極めて機微性の高い情報に及ぶ。Revolutは「Revolutのシステムおよび顧客資金への影響はない」としている。
攻撃の手口と発覚の経緯
今回の攻撃は、なりすまし先の政府機関が実際に使用する正規のメールドメインから送信されており、送信元のドメイン認証(SPF/DKIM等)が正当なものであったことから、Revolut側は真正な要請だと信じて情報を提供してしまった。不正利用が判明した後、Revolutは該当のメールアドレスを即座に遮断し、なりすまされた政府機関本体に加え、法執行機関、データ保護当局、金融規制当局にも通報したと説明している。ただし同社は、侵害の発覚時期や影響を受けた顧客の正確な人数について具体的な情報を明らかにしていない。暗号資産詐欺の調査で知られるZachXBT氏は、今回の攻撃が高純資産(高額資産保有)顧客を狙った標的型のものである可能性を指摘している。
影響範囲とRevolutの対応
Revolutは影響を受けた顧客数について「限定的」とするのみで、具体的な数字や被害が特定の地域に限られるかどうかについては回答を避けている。同社は影響を受けた顧客に直接通知を行ったとしており、システムや資金そのものへの侵害はなかったと強調している。Revolutは世界30カ国以上で8000万人を超える顧客基盤を持つ大手フィンテック企業で、米国での銀行免許の条件付き承認を最近取得し、評価額2000億ドル規模とも言われるIPOの準備を進めているさなかでの発覚となった。
背景と今後の展望
Revolutにとって今回は2度目となる大規模な情報流出であり、2022年にも約5万150人の顧客に影響する侵害を公表している。今回の事案は、技術的な脆弱性の悪用ではなく、正規のメール認証情報を持つなりすましという「人的・運用プロセス」の隙を突いた攻撃である点が特徴的だ。金融機関が本人確認や捜査協力のために外部からの照会に応じる業務フローそのものが標的となっており、他の金融サービス事業者にとっても、政府機関からの要請を検証する手続きの厳格化が急務であることを示す事例といえる。今後、規制当局による調査の進展や、影響を受けた顧客への具体的な補償・支援策が焦点となる見通しだ。