Revolutが詐欺師にパスポートを提供——ハッキング不要、偽の政府メール1通だけ

Revolutはハッキングされたわけではない。ファイアウォールを突破されたわけでも、コードの脆弱性を突かれたわけでもない。攻撃者は、正当な政府ドメインを持つメールアドレスを使って政府機関を装い、データ開示請求を提出。Revolutの確認チェックがそれを真正なものと判断し、攻撃者は影響を受けたユーザーの完全な身分証明書、パスポートのコピー、登録時の自撮り写真、完全なアカウント履歴――記録上のすべてのビットコイン取引を含む――を持ち去った。

この攻撃はソフトウェアの欠陥ではなく、法的義務を悪用したものだ。金融プラットフォームは法律により、政府機関や法執行機関からの公式データ請求に応じる義務がある。攻撃者はRevolutの審査を通過するほど巧妙にそれらの請求を偽造し、一般市民を保護するために設計されたコンプライアンス手続きを、データ盗難の手段に変えた。Revolutは、関連当局に対して独自に請求の検証を試みたが、なりすましが発覚したのはデータがすでに共有された後だったと述べている。

アカウントが該当した人にとって、この情報漏洩は標準的な侵害よりも深刻だ。盗まれたデータは、完全な確認済み身元情報（氏名、生年月日、住所、パスポートや運転免許証のコピー、口座開設時の自撮り写真）を、ビットコインのウォレット参照情報と完全なオンチェーン取引記録に結び付ける。この組み合わせは期限切れにならない。影響を受けたユーザーが新しいウォレットを開設しても、漏洩データを入手した者は誰でも、その以前のコインの動きを、確認された実世界の身元に恒久的に追跡できる。

Revolutは、生体認証による顔面テレメトリー（自動顔照合に使用されるシステム由来のテンプレート）は含まれておらず、オンボーディング時に撮影された生の写真のみであると述べた。顧客の資金に影響はなかった。同社は不正なメールアドレスをブロックし、なりすまされた政府機関に通知し、法執行機関に通報し、必要な規制当局への届出を行った。欧州のデータ保護規制当局がこの対応を十分とみなすかどうかは未解決の問題である。GDPRは、企業がこうした種類の身分証明書をどのように取り扱い保護すべきかについて厳格な義務を課している。

このインシデントは、技術的なセキュリティだけでは防ぐことのできない攻撃のカテゴリーを示している。企業はデータベースを暗号化し、APIを監査し、ペネトレーションテストを実施しても、法律上従うことが義務付けられている手続きを通じてソーシャルエンジニアリングされる可能性がある。問題はRevolutのコードではない。あらゆる組織が、公式の表示を伴うリクエストが、実際に主張されている当局から発信されたものであることをどのように検証するかという未解決の問題である。

Revolutは影響を受けた顧客に直接通知し、関与したアカウントの総数や漏洩が発生した特定の市場については明らかにしていない。侵害通知を受け取った人にとって、詐欺師の手に渡った身分証明書は、プラットフォームそのものを超えた詐欺への扉を開く――パスポートの不正使用、実際のアカウント詳細を参照するフィッシング電話、金融サービス全体にわたる個人情報窃盗などだ。そしてビットコインの記録は別種の問題である。Revolutはパスワードをリセットできるが、誰もブロックチェーンをリセットすることはできない。

タグ: data breach, fintech, Revolut, social engineering