Revolutへの不正アクセスと「毎日データを漏洩する」という脅迫——暗号資産ユーザーが今すぐ知っておくべきこと

Revolutが攻撃者に狙われた。それも、偽の政府機関メールを使った手口で顧客データを抜き取られ、さらに攻撃者は「毎日データをリークする」と脅迫まで始めた。スキャンダルの優先度基準からいえば、今日はこれ以外を書く気にならない。

何が起きたか

Revolutといえば、欧州を中心に4000万ユーザーを抱えるフィンテックの巨人で、暗号資産の売買機能まで搭載しているアプリだ。その顧客データが、偽の政府機関を装ったメールを通じて外部に流出した。攻撃者はいわゆるソーシャルエンジニアリング、つまりRevolutの内部システムにアクセスできる立場の誰かを騙した形跡がある。技術的に突破したのではなく、人を騙した。この違いは大きい。

そして流出に止まらず、攻撃者は「毎日少しずつデータを公開していく」と脅迫を続けている。これはランサムウェア的なプレッシャー戦術で、Revolutが身代金交渉に応じない限り情報を小出しにして世間の注目を引き続けるつもりだということだ。

暗号資産ユーザーにとって何が怖いのか

「自分はRevolutを使っていないから関係ない」と思うかもしれないが、そう簡単には切り離せない。

まず流出したデータの中身が問題だ。氏名・メールアドレス・電話番号・居住地情報、場合によっては取引履歴まで含まれる可能性がある。これらが揃えば、SIMスワップ攻撃の材料として使われる。SIMスワップとは、電話番号を攻撃者が乗っ取り、二段階認証のSMSコードを横取りする手口だ。2017年から今に至るまで、この手口で暗号資産を根こそぎ持っていかれた人を何人も見てきた。

次にフィッシングの精度が上がる点だ。メールアドレスと氏名と電話番号が揃ったリストは、高精度なフィッシングメールを作るために使われる。「Revolut公式からのお知らせ：セキュリティ確認が必要です」というメールが届いたとき、それが本物かどうか判断するのは普通のユーザーには難しい。今後数週間、Revolutユーザーに限らず「暗号資産関連サービスからの確認メール」には警戒水準を上げておいた方がいいと思っています。

「偽の政府機関メール」という手口をもう少し掘り下げる

Revolutが公式に認めた流出経路が「偽の政府機関を装ったメール」というのは、かなり深刻なことを示唆している。企業が政府機関からのメールを受け取ったとき、内部では何らかのプロセスで対応する。法務部門が動くこともあれば、特定の担当者がシステムへのアクセス権を持って対応することもある。攻撃者はそのプロセスをよく理解した上で、対応する人間を狙ったと自分は読んでいる。

これはいわゆるBEC（ビジネスメール詐欺）の変形版で、2020年代に入って急増している攻撃パターンだ。技術的なゼロデイ脆弱性を突くより、人間の判断ミスを誘う方がコストパフォーマンスが高い。攻撃者はそれをよく知っている。

フィンテック・暗号資産業界全体で似たような手口が増えているのは、ここ2〜3年の傾向だ。Binanceが偽の法執行機関対応でデータを渡してしまったとされる事案もあったし、Coinbaseも内部から情報が漏れる問題を抱えてきた。Revolutの件は「また起きたか」という感覚が正直なところだ。

「毎日漏洩する」という脅迫戦術の意味

攻撃者が一括で全データを公開しないのは理由がある。情報を小出しにすることで継続的にプレッシャーをかけ、メディアの注目を維持し続ける。Revolutが身代金を払うか、あるいは法的手段で攻撃者を黙らせるまで、この「毎日漏洩」ショーは続く可能性がある。

企業側が取れる選択肢は基本的に三つ——交渉する、無視する、法執行機関と協力して追う——のどれかだが、過去の事例を見ると「交渉して払った」企業がその後も繰り返し狙われるケースが多い。Revolutがどの選択をするかは今後の展開次第だが、4000万ユーザーを抱える企業として、静観するわけにもいかないはずだ。

自分なりの整理と、ユーザーとして今できること

Revolutを使っているユーザーに限らず、暗号資産関連サービス全般を使っている人には今すぐ確認してほしいことがある。

SMS認証に依存した二段階認証を使っているなら、認証アプリ（GoogleAuthenticatorやAegisなど）に切り替えること。電話番号ベースの認証はSIMスワップに対して脆弱で、2017年からずっとそう言われてきたのに未だに主流のままでいるのは業界の怠慢だと思っています。次に、Revolutに登録したメールアドレスと同じアドレスを暗号資産取引所のログインに使っている場合、そのアドレス宛てに来るメールの扱いには今まで以上に気をつけた方がいい。リンクをクリックする前にURLを必ず確認する、これだけでかなり変わる。

今回の件で改めて感じるのは、大手だからといって安全という保証はどこにもないということだ。技術的に堅牢なシステムも、人間のミスが一つあれば突破される。2022年にFTXが崩壊したとき、「あんな大きな取引所が」と誰もが驚いたように、規模と信頼性は必ずしも一致しない。資産は自分で管理できる範囲に留め置く、それが長く生き残るための基本だと今も思っています。

なお、自分でトレードする時間がなかったり、あるいは経験豊富なトレーダーの動きを参考にしたいという場合は、BingXのコピートレード機能を使うという選択肢もある。実績のあるトレーダーの取引をそのまま追う形なので、忙しいときや相場の読みに迷っているときに使っている人が増えている印象だ。ただしコピー先のトレーダー選びは慎重にした方がいいし、損失リスクはコピー元と同様に存在することは忘れないでほしい。

そんな感じで見ています。