英大手フィンテック企業のRevolut（レボリュート）は、偽の政府機関から届いた電子メールによる開示要請に応じ、顧客のパスポート情報やビットコインの取引記録を引き渡してしまったことを確認しました。この事案はシステムへの直接的な不正侵入ではなく、公的機関を装ったなりすましによって正規の対応手続きが騙された事例とされています。暗号資産の取引履歴や厳格な本人確認（KYC）情報を取り扱う金融サービスにおいて、外部からの照会対応フローにおけるリスク管理が問われる点で業界から関心を集めています。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
偽の政府要請による顧客データ流出の経緯
Revolutの発表によると、同社は政府機関を装った不正な情報開示要請に応じてしまい、一部の顧客データを誤って開示しました。流出したデータには、顧客のパスポートなどの本人確認書類や、ビットコインの取引記録が含まれていたことが確認されています。
外部の報道および同社の説明によると、要請メールには実在する政府機関のドメインと有効な認証情報が使われていたため、同社は正当な要請と誤認して対応したとされています。ただし、Revolutのシステム基盤に対する直接的な侵害やハッキングは確認されておらず、顧客の資金やログイン情報自体は保護されているとされています。
同社の対応と暗号資産事業者が直面するセキュリティ課題
Revolutは問題の発生を検知した後、直ちに送信元のアクセスを遮断し、ドメインを悪用された公的機関、警察、ならびに金融規制当局やデータ保護機関への通報を行ったとされています。また、影響を受けたとされる限定的な数の顧客に対しても通知を進めたとされています。
本件は、暗号資産を扱うプラットフォームを狙う攻撃手法の巧妙化を示しています。システムの脆弱性ではなく、法執行機関や公的機関を模したコンプライアンス（法令順守）窓口へのソーシャルエンジニアリングを通じて、オンチェーンのビットコイン取引情報や個人属性情報が抜き取られた形であり、業界における情報開示プロセスの厳格化が求められる契機になると見られます。
ポイント
- Revolutが偽の政府機関メールに騙され、顧客のパスポート情報やビットコイン取引記録を外部に提供してしまった点
- 実在する政府機関の正規ドメインが利用された高度ななりすましにより、真正な法執行要請と誤認されたとされている点
- 同社のシステム自体や顧客資金への直接的な影響はなく、送信元を遮断した上で警察や規制当局への通報が完了しているとされている点
- 暗号資産の取引データや本人確認情報が公的照会を偽装した攻撃によって引き出された事例として、事業者の開示手続きの検証が重要視される点