📡 Signal｜Revolut 流出の攻撃者、著名人の書類から公開を開始

英国発の金融アプリ Revolut から偽の政府照会で本人確認書類を引き出した攻撃者が、週末に Telegram で一部顧客の書類を公開し、Revolut が支払うまで毎日公開する量を増やすと予告した。先週明らかになった流出は、照会に応じた時点で閉じた事故ではなく、渡った書類を材料に会社そのものへ支払いを迫る恐喝の段階に入った。

Revolut facing ransom request after hackers obtain customers' data（City AM・2026年9月14日／攻撃者が支払いまでデータを毎日公開すると予告したこと、名前の知られた複数の人物のデータが既に公開されたこと、Revolut が遮断と当局通報を説明し、件数と支払い要求へのコメントを控えたことを確認）City AM

Revolut は対象の件数も、なりすまされた機関の名称も明らかにしていない。支払いの要求についても、取材に対してコメントしていない。

本人確認の書類を預かる事業者にとって、問われているのはサーバーの守りではなく、窓口から外に出た写しが交渉の道具に変わったあとの対応である。

公開は、名前の知られた顧客の書類から始まった

各社の報道によると、攻撃者は Telegram に「Revolut が顧客の情報を漏らした代償を払うまで、毎日より多くのデータを公開していく」という趣旨の投稿を出した。すでに公開されたのは、名前の知られた複数の人物の本人確認書類と、顔認証に使われた自撮り画像だと伝えられている。

先週、対象の顧客に届いた通知が挙げていた区分は、氏名・生年月日・職業、住所と連絡先、パスポートや運転免許証の画像と顔認証の自撮り、IBAN を含む取引明細、出金記録、そしてビットコインを含む取引履歴だった。公開が続く限り、この束のどこまでを、どの順番で表に出すかは攻撃者が決める。

要求の中身や金額は、Revolut 自身からは示されていない。

Revolut の説明は、応じた理由に集中している

Revolut は各社への説明で、今回の件を外部からの巧妙ななりすまし詐欺と位置づけている。照会のメールは実在する政府機関のドメインから送られており、そのメールが有効なドメイン認証を伴っていたため、本物の政府機関からの要請だと合理的に信じて応じた、というのが同社の説明だ。

検知後は差出人のアドレスを遮断し、なりすまされた機関に加えて、捜査当局、データ保護当局、金融規制当局に通報したとしている。中核のインフラやデータベース、顧客の口座は侵害されておらず、システムと顧客の資金に影響はないという。影響を受けた顧客の数については、ごく限られているとだけ述べている。

システムが無事だという説明は、おそらく正確だ。ただ恐喝の局面では、その正確さが安心材料にならない。侵入されたわけではないから、閉じるべき穴はサーバーの中にない。攻撃者の持ち札は、すでに外へ出た写しそのものである。

業務を止めずに、時間で迫る

データを暗号化して業務を止める型のランサムウェアなら、支払うかどうかは復旧の見通しと天秤にかけられる。今回、Revolut の業務は止まっていない。代わりに攻撃者が握っているのは、公開の順番と速さだ。

注目を集める人物の書類から出し、以後は毎日量を増やすと予告する。支払いの判断を日割りで迫る組み立てで、1 日ごとに巻き込まれる顧客と報道の目が増えていく。そして支払ったとしても、渡った写しが消えたと保証できる者はいない。

オンチェーン調査で知られる ZachXBT は、先週の時点で、資産規模の大きい顧客が狙われた可能性を指摘していた。住所と本人確認書類と取引履歴が一人の人物に結びついたまま出回れば、その人物を狙う詐欺やなりすましの材料になる。

Revolut が人を欺く手口に突かれたのは、これが初めてではない。2022 年 9 月にも、ソーシャルエンジニアリングによる不正アクセスで 5 万 150 人分の顧客情報が流出している。技術の防御をすり抜けたのではなく、正しいと判断して扉を開ける工程が入口になった点は、4 年を隔てて変わっていない。

今週の分岐点

Base: Revolut は支払いに応じず、対象の顧客への個別の連絡と保護措置を続ける。公開は小出しに続き、焦点は対象件数となりすまされた機関の名称の開示へ移る
Risk: 公開の範囲が名前の知られた顧客の外へ広がり、書類と取引履歴を使った詐欺やなりすましの被害報告が出始める。通報を受けたデータ保護当局による調査が表面化する
Alt: なりすまされた政府機関の側から、送信に使われたアカウントの経緯が公表される。論点が 1 社の対応から、当局照会を受け付ける手順そのものへ移る

ことば

データ公開型の恐喝 — 手に入れたデータを少しずつ公開すると脅して支払いを迫る手口。暗号化で業務を止める従来の型と違い、相手の業務が動いたままでも圧力をかけ続けられる。
KYC — 金融機関が口座開設時などに行う本人確認の手続き。資金洗浄対策として書類や顔画像の保管が求められるため、その保管庫自体が攻撃者にとって狙う価値を持つ。
IBAN — 国際送金で受取口座を特定する番号。国コードと銀行・口座の情報を含み、氏名や住所、取引履歴と組み合わさると、なりすましに使われうる情報になる。

🔗 一次ソース