Revolutのデータ侵害、顧客のパスポートとBitcoinの取引記録が流出

フィンテック企業のRevolutが、不正な情報要請に応じたことで重大なセキュリティ侵害に見舞われ、機密性の高いユーザー識別情報と暗号資産の活動記録が不正に開示される事態となりました。このインシデントにより、顧客のパスポートに加え、詳細なBitcoinの取引履歴が露呈しました。

BeInCryptoの報道によると、Revolutは、偽の政府機関からのメールを利用したフィッシング攻撃によって侵害が引き起こされたことを確認しています。攻撃者はプラットフォームの通常の照会対応手順を操作することに成功し、最終的に保護されていた顧客記録を入手しました。

富裕層のアカウントが影響を受ける

CryptoSlateやCoinpediaの報道では、今回のインシデントが特に富裕層および高純資産顧客のデータに影響を与えたことが強調されています。CryptoPotatoは、この侵害が高度なソーシャルエンジニアリング詐欺に依存していたと指摘しており、攻撃者は正当な国家当局を装うことで、通常の本人確認プロトコルを回避することに成功しました。

公式機関になりすますことに成功した不正な当事者は、身分証明書と過去のBitcoin取引の完全な記録の両方を回収することに成功しました。検証済みのパスポートに直接結びついた取引台帳の露呈は、重大なプライバシーリスクをもたらし、通常は暗号資産保有に付随する匿名性を実質的に剥ぎ取るものとなっています。

コンプライアンスとプラットフォームのセキュリティに対する監視の目が厳しくなる

今回の侵害は、中央集権型の金融プラットフォームが規制遵守とデータセキュリティのバランスを取る際に直面する、継続的な課題を浮き彫りにしています。中央集権型サービスは「知るあなたの顧客（KYC）」の義務を満たすためにユーザーの身分証明ファイルを日常的に保管していますが、これらの記録をオンチェーンの取引履歴と一緒に保管することは、攻撃者にとって格好の標的を作り出すことになります。

業界オブザーバーは、今回のセキュリティ上の失態により、フィンテック企業が公式なデータ要請をどのように審査・認証しているかに関して、規制当局による厳しい調査を招く可能性が高いと指摘しています。この侵害は直接的なソフトウェアの脆弱性悪用ではなくソーシャルエンジニアリングに起因しているため、顧客データ保護を管理する内部統制や運用管理に関する疑問が残されています。また、この侵害は、伝統的な銀行機能とデジタル資産管理を組み合わせた中央集権型フィンテックプラットフォームに対する消費者の信頼にも影響を与える可能性があります。