Revolut、ハッカーに富裕顧客のパスポートとビットコイン履歴を渡す

Revolutは、政府機関からの偽の要請を正当なものとして扱った後、顧客のパスポートとビットコイン取引履歴を開示した。記録には、パスポートの写し、運転免許証の写し、本人確認用の自撮り写真が含まれていた可能性がある。氏名、生年月日、職業、自宅住所、電話番号、IBAN、口座明細も開示されていた可能性がある。出金記録と完全な取引履歴も開示されていた可能性がある。偽の要請は、真正な政府機関のドメイン基盤内にある無許可のメールボックスから送られた。そのメールボックスは有効な認証情報を使用していた。SPF、DKIM、DMARCの認証は通過していた。Revolutは記録を開示した後、その機関に連絡した。Revolutは要請が偽造だったと結論付けた。Revolutはそのアドレスを遮断し、顧客と規制当局への通知を開始した。Revolutはその機関を特定していない。Revolutは影響を受けた顧客数を明らかにしていない。ZachXBTは、開示の規模は限定的だったようだと述べた。ZachXBTは、富裕層の顧客が標的になった可能性があると述べた。顧客資金が盗まれたとの報告はない。Revolutの通知には、パスワード、カードの暗証番号、暗号資産の秘密鍵は含まれていなかった。流出した情報によって、確認済みの身元と居住住所を暗号資産の活動に結び付けられる可能性がある。Marc Zellerは、この開示はRevolutが口座閉鎖をちらつかせて追加情報を要求したことに続くものだと述べた。Zellerは、Revolutが攻撃者の仕事を代わりに行ったと非難した。元Mt. Gox最高経営責任者（CEO）のマーク・カルプレスは、機関を特定できれば、他の銀行や取引所が同じメールボックスから要請を受けていたかどうかを確認するのに役立つ可能性があると主張した。Revolutは、認証結果から、要請は真正な政府当局から来たと考えたと述べた。Revolutは、政府の情報要請にメール以外の手段での確認が必要かどうかを明らかにしていない。Revolutは、顧客記録を開示した後になって初めて機関に連絡した理由を明らかにしていない。Revolutは、詐欺を発見した後にその手続きを変更したかどうかを明らかにしていない。