RevolutはBeInCryptoに対し、実際に第三者による「なりすまし」攻撃で顧客ファイルを引き渡した事実を認めた。自社の通知によれば、流出したのはパスポート、自撮り写真、ビットコインの記録などを含む。Revolutは高度な攻撃だったと説明する。同社が「高度」と呼ぶものは電子メールによるものだった。
このメッセージは正規の政府機関のメールドメインから送信されていた。実際のドメイン認証情報が使われていた。Revolutは正規のものとして受け取り、ファイルを送信した。
Revolutの説明
Revolutの広報担当者はBeInCryptoに対し、問題を認識し次第、直ちに送信者を遮断したと述べた。
「Revolutは最近、正規の政府機関のドメインメールを用いた外部の不正ななりすまし攻撃を特定した。この不正な第三者は情報開示の要求を装ったものだった。...Revolutのシステムおよび顧客資産には影響がない」
Xで最新ニュースはこちら
同社は、政府機関、警察、データ保護・金融監督当局に通報したと説明。影響を受けたとされる限定的な顧客にも個別に連絡した。
声明で語られない点
Revolutは、顧客口座は引き続き安全だと説明。それ自体は事実だが、問題の本質はそこではない。
パスコードやログイン情報、生体認証データは一切流出しなかったと同社は説明。資金流出もなかった。
しかし顧客に送付された通知の内容は異なっていた。通知では本人確認用の自撮り写真も流出したとされ、顔写真から抽出したシステム上の顔テンプレート（生体認証情報）だけは除外している。写真自体の取り扱いは別問題とされている。
通知の中でその他の流出内容も列記された。パスポート、運転免許証、住所、銀行取引明細書、ビットコインの入出金履歴全記録。
Revolutが偽の政府機関要求によりパスポートやビットコイン記録を引き渡しか 出典： ZachXBT パスワードなら数分で変更できるが、パスポートはそうはいかない。
Revolutは、捜査が進行中であることを理由に、どの政府機関ドメインが使用されたかは明かしていない。そのため、政府のメールボックスが乗っ取られたのか、内部の誰かが送信したのか、社外では不明なままである。
暗号資産の追跡を専門とするブロックチェーン調査員ZachXBT氏がこの漏えいを指摘。一部の対象ユーザーが比較的裕福な層である点にも注目した。
Woke up to all my data leaked by @Revolut .
— Marc Zeller (@mzeller) September 12, 2026
Sharp reminder that KYC hasn’t produced meaningful upside and has put many in harm’s way. pic.twitter.com/RimOBQr7DW
過去には顧客リストの流出がフィッシング被害のリスクとなっており、住所の漏えいが暴力事件につながった事例もある。
「高度な」攻撃という表現は、もう一つの側面もある。Revolut自身の説明によれば、攻撃者はメールを書き、返答を待ったという。巧妙な部分は政府のメールシステム内部で起き、損失が発生したのはRevolut側だった。
jp.beincrypto.com でLockridge Okothによるオリジナル記事 Revolut、不正政府メールでパスポート・ビットコイン情報流出確認—発信者特定は を読む