Revolutの顧客情報が流出、攻撃者が「毎日公開する」と脅迫

英フィンテック大手Revolut（レボリュート）の顧客情報を入手した攻撃者が、データの一部をネット上に公開し始めたとみられる。

攻撃者は、「Revolutが支払うまで、毎日さらにデータを公開する」と脅しているという。

新たに流出したとされる情報には、テニス選手アレクサンダー・シェフチェンコ氏と、オンライン暗号資産カジノ「Gamdom（ガムドム）」のCEOを務めるフェリックス・レーマー氏のセルフィーや本人確認書類のコピーが含まれているという。国際サイバー・ダイジェストは9月13日、Xへの投稿で伝えた。

攻撃者はTelegram上で、「Revolutが顧客情報を流出させたことに対して支払うまで、毎日さらに多くのデータを公開していく」と主張しているという。

CointelegraphはRevolutとレーマー氏にコメントを求めた。

本人確認書類や取引履歴も流出か

今回さらされたとされる本人確認書類や顔認証用の画像は、なりすましや個人情報の悪用につながる恐れがある。

Revolutは9月11日、顧客への通知で、流出したデータには顧客の氏名、生年月日、職業、連絡先、口座明細、さらにビットコイン取引の記録を含むすべての取引履歴も含まれると説明した。

つまり、単なる名前やメールアドレスの流出ではない。

口座の動きまで含む情報が外部に渡った可能性がある。

Revolutは9月12日、今回の情報流出についてCointelegraphに対し、「高度な外部なりすまし詐欺」が原因だったと説明した。

攻撃者は、実在する政府機関のドメインを使ったメールアドレスを利用し、正規の問い合わせを装って情報を取得するための不正な要求を送ったという。

「システムや顧客資金には影響なし」

その後、RevolutはCointelegraphに対し、今回の情報流出の影響を受けた顧客は「限られた人数」だったと説明した。

また、同社のシステムや顧客資金には影響していないとしている。

一方で、攻撃者が実際にどれだけの顧客情報を入手したのか、そして今後どこまで公開するのかは明らかになっていない。

本人確認書類や顔認証画像、口座明細、暗号資産の取引履歴まで含まれるとされるだけに、情報が拡散すれば、顧客を狙ったなりすましや詐欺などに悪用される可能性もある。

Revolutをめぐっては今年2月にも、元従業員が暗号資産トレーダーの個人情報を公開すると脅し、身代金を要求したとされる事件があった。この件ではRevolutが捜査を確認する一方、自社のセキュリティーシステムに侵害はなかったと説明している。

今回の件では、攻撃者がすでに情報の公開を始めたとみられている。

「Revolutが支払うまで毎日公開する」という脅迫が現実のものとなれば、今後さらに顧客情報が流出する可能性がある。