📡 Signal｜Revolut、本物の政府ドメインからの偽の照会で本人確認書類を開示

英国発の金融アプリ Revolut が、実在する政府機関のメールドメインから届いた照会に応じ、顧客の本人確認書類とビットコインを含む取引履歴を第三者に渡していた。差出人のアドレスは見た目を似せた偽装ドメインではなく本物で、ドメイン認証を通過したため、社内では正規の当局からの要請として処理された。

顧客への通知が出たのは 9 月 11 日。対象となった件数も、なりすまされた機関の名称も国名も、まだ公表されていない。

侵入されたサーバーから抜かれたのではない。手続きの正面から、渡す判断をして渡している。

■ 差出人は、実在する政府機関のドメインだった

顧客に届いた通知の件名は「Urgent security update about your Revolut account」だった。受け取ったことを自ら明らかにした一人に、マウントゴックスの元最高経営責任者マルク・カルプレス氏がいる。同氏によれば、通知が届いたのは協定世界時の 9 月 11 日 21 時 59 分、日本時間では 12 日の早朝にあたる。

各社が伝えている Revolut の説明で要になるのは、その照会が実在する政府機関のメールドメインから送られ、ドメイン認証を通過したという点である。フィッシングでよく使われる、1 文字だけ変えた似せたドメインではない。送信元の正しさを機械で確かめる仕組みはむしろ正常に働き、そのうえで通っている。

オンチェーン調査で知られる ZachXBT は、影響の範囲は限定的に見え、資産規模の大きい顧客が狙われた可能性があるとの見方を示している。ただしこれは推定であり、Revolut は件数を明らかにしていない。

■ 渡ったものと、渡らなかったもの

通知が挙げた区分は大きく 4 つに分かれる。氏名・生年月日・職業。住所・メールアドレス・電話番号。パスポートや運転免許証といった本人確認書類の画像と、顔認証に使った自撮り画像。そして IBAN とウォレット参照番号を含む取引明細、出金記録、ビットコインを含む取引履歴である。

渡らなかったとされるのは、顔認証の生体テンプレート、ウォレットの秘密鍵、ログイン用のパスワード、カードの暗証番号、そして口座残高。資金への影響はないと Revolut は説明している。

パスワードは変えられる。パスポートの番号と生年月日と自宅の住所は、変えられない。そこへ、いつどれだけ動かしたかという記録が同じ束で付く。片方だけなら断片で済むものが、束になると、実在の人物と結びついた資産の見取り図になる。取り戻すという手段が存在しない種類の情報である。

■ 認証が答えるのは、権限の問いではない

ドメイン認証が確かめるのは、そのメールが名乗ったドメインから本当に送られたか、という 1 点にすぎない。送り主にその要求を出す資格があるかどうかは、別の問いである。今回は前者が通り、後者が確かめられないまま処理された。

当局からの照会は、緊急を理由に令状を待たずに速く処理される経路を持つことが多い。その速さを支えているのが「差出人が本物に見えるか」だけであれば、機関の側でアカウントが 1 つ乗っ取られた時点で、速さはそのまま抜け道に変わる。事業者にとって、これは自社のサーバーを固めても閉じない穴になる。

Revolut はその後の対応として、差出人アドレスを社内システム全体で遮断し、なりすまされた機関に照会し、対象の顧客に予防的な保護措置を取り、警察とデータ保護・金融の当局へ通知したと説明している。ただし遮断も通知も、すでに送り出された書類を戻すものではない。

■ 次に見るもの

対象件数と、なりすまされた機関の国名・名称。Revolut 自身の公表と、通知先とされる当局の側からの発表
同じ差出人から、同種の照会が他の金融事業者にも届いていたかどうか
当局照会の受け付け手順に、ドメイン認証の外側でどのような確認が加えられるか

■ ことば

当局照会 — 警察や規制当局が捜査などを理由に事業者へ顧客情報の提出を求める手続き。緊急案件は令状を待たずに処理される経路が用意されていることが多く、速さと引き換えに確認が薄くなりやすい。
ドメイン認証 — 受信側が、そのメールを名乗ったドメインが実際に送ったものかを自動で検証する仕組み。差出人の出どころは確かめられるが、その相手に要求を出す資格があるかどうかまでは判定しない。
ウォレット参照番号 — 取引明細のなかでウォレットを指し示す番号。公開台帳のアドレスそのものなのか事業者内部の識別子なのかは、通知の記載からは判別できない。

🔗 一次ソース