Revolutの偽の政府機関の請求に応じた顧客情報の提供
- タグ
- 国外
Revolutは政府機関のメールドメインから届いた偽の情報請求に応じ、顧客の本人確認書類や取引履歴を渡した［6、7］。イタリアの内務次官の答弁では、Revolutはデータを渡した顧客を680人〔注1〕と同国の国家サイバーセキュリティ庁（ACN）に伝えた［2］。PYMNTSが伝えたReutersの2026年10月7日の報道によると、同社の西欧の最高経営責任者は、影響を受けた顧客の新しい身分証の費用を負担すると述べた［15］。
経緯
暗号資産の調査者ZachXBTがTelegramに載せた顧客向けの通知メールの画像によると、Revolutは正規の政府機関から来たように見える顧客情報の請求を受けた［6］。請求は、その政府機関の公式のメールドメインを使った権限の無いメールアカウントから直接送られていた［6］。通信が有効なドメイン認証の資格情報を伴っていたため、Revolutは本物の政府機関の請求だと合理的に信じて応じた［6］。
内務次官の答弁では、Revolutはレッジョ・カラブリア県庁に結び付く認証メール（PEC）の宛先が侵害されたとACNに報告した［2］。ACNのチームは、攻撃者が不正な情報請求を送ったメールのうち、Revolutが提供した1通の標本を分析して侵害を確かめた［2］。
内務大臣は下院で、請求は県庁に結び付く「entilocali」という名のPECの宛先から届き、その宛先は一度も使われていなかったことが後に分かったと答弁した［3］。大臣は、請求は同社が最低限の注意を払えば確かめられ、確かめるべきものだったと述べた［3］。根拠として、請求元に比べて請求された情報が整合しないように見えることと、情報の量と種類を挙げた［3］。
実行者の説明と観測主体の分析
Hudson Rockが伝えた、Duelの調査チームと接触した実行者の説明では、インフォスティーラーで政府職員のメールアカウントに入り、自分の管理する復旧用のメールアドレスを加えて通信を監視していた［5］。送ったメールはすぐに削除し、返信は.eml形式で保存してから本来の利用者が気付く前に削除した［5］。実行者は当初、研究者に「RAT」を使ったと話していた［5］。
実行者は、最初は裁判所の命令の偽造を試みたが、欧州捜査命令に応じる義務を負うリトアニアの子会社Revolut Bank UABを標的に選んだと説明した［5］。Revolut Bank UABは、ヴィリニュスに所在するRevolutグループの完全子会社である［16］。実行者の説明では、約5か月前に偽の請求を1通送ると、Revolutはイタリア政府からの通信だと信じて応じた［5］。その後の5か月にわたって請求を送り続けたが、Revolutは疑問を示さず、誤った書類を送った際にはサポートが直し方を案内した〔注2〕［5］。
Hudson Rockの分析では、出回った画像から、Revolutとのやりとりに内務省のpec.interno.itのアドレスが使われたことがはっきり分かる［5］。同社は自社のデータベースで、感染済みの端末に由来するpec.interno.itのウェブメールのログイン情報を約300件〔注3〕確認した［5］。実行者がこれらの職員を自ら感染させた可能性は「highly unlikely」とし、既存のインフォスティーラーのログを買うか使った可能性が高いと評価した［5］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | ZachXBT | Revolutが偽の政府の請求を見抜けず、一部の利用者の個人を特定できる情報を露出させたとみられるとTelegramに投稿した | ［6］ |
| 2026年 | Revolut | ACNにサイバーセキュリティ上のインシデントの可能性を届け出て、事象を認めた | ［2、9］ |
| 2026年 | Revolut | ACNに侵害を認め、関係する顧客に通知したことを伝えた | ［2］ |
| 2026年 | 下院議員 | 内務大臣に緊急質問2-00925を出した | ［4］ |
| 2026年 | Hudson Rock | 実行者の説明とpec.interno.itの資格情報の分析を公表した | ［5］ |
| 2026年 | IAmNotAVillainを名乗る者 | Revolutに300万ドルを公然と要求した | ［12］ |
| 2026年 | イタリアの内務次官 | 下院で緊急質問2-00925に答弁した | ［2］ |
| 2026年 | Garante | 国内の銀行への確認の要請とリトアニアの当局への照会を公表した | ［1］ |
| 2026年 | イタリアの内務大臣 | 下院で質問3-02906に答弁した | ［3］ |
影響範囲
| 区分 | 含まれる情報 | 資料 |
|---|---|---|
| 本人の情報 | 氏名、生年月日、職業 | ［6］ |
| 連絡先 | 住所、メールアドレス、電話番号 | ［6］ |
| 書類と本人確認のデータ | 身分証（旅券か運転免許証）の写し、顔認証の画像（本人確認で提出した自撮り） | ［6］ |
| 金融データ | 口座明細（IBAN、口座の状態、開設日、ウォレットの参照番号を含む）、出金記録、全取引履歴（ビットコインを含む） | ［6］ |
Revolutは通知で、顔の生体のテレメトリのデータは含まれず、侵害もされていないとした［6］。The Recordは、実行者は富裕な個人を狙ったとみられ、その多くが暗号資産の事業に関わると報じた［8］。
内務次官の答弁では、データを渡した顧客のうちイタリア人は8人だけだった［2］。Punto InformaticoはIl Sole 24 Oreを引き、影響を受けたのは主にフランスとスイスの居住者で、イタリアを含む数十の国にも及ぶと伝えた［13］。
対応と現状
Revolutの広報担当はSecurityWeekに、権限の無い第三者が正規の政府機関のドメインのメールで不正な情報請求を送った、高度な外部のなりすまし詐欺を最近特定したと説明した［7］。発見後すぐに請求に使われたアドレスを遮断し、関係する政府機関、法執行機関、データ保護当局、金融規制当局に通報した［7］。同社のシステムと顧客の資金に影響は無いとした［7］。
City A.M.によると、Revolutは中核のインフラ、データベース、顧客口座は侵害されていないと説明した［10］。
イタリアの当局と議会
内務次官の答弁によると、Revolutは英国法の法人で、国内のNIS規制の対象ではない［2］。ACNはRevolutとの協議を続け、郵便通信警察と国家反マフィア・反テロ局に通報した［2］。国家警察の地方のサイバーセキュリティ運用センターはレッジョ・カラブリアの検察に通報し、捜査を進めている［2］。法務省は、この検察で公益的な情報システムへの不正アクセスの罪の刑事手続きが登録されたと確認した［2］。
緊急質問は、実行集団が内務省の「@pec.interno.it」「@interno.it」の宛先に数か月アクセスしたと主張しているものの、イタリアの当局は確認していないと書いた［4］。質問した議員は答弁の後の発言で、Revolutは欧州の新しいe-Evidence規則に従って応じたと述べた［2］。
内務大臣の答弁では、内務省のサイバーセキュリティの部局が調査を始め、省の委員会を招集した［3］。PECの契約に基づく対策を取り、提供事業者の契約違反の可能性の追及と制裁も排除しない［3］。質問した議員は、内務省のシステムから147GBが実際に持ち出されたのかを知りたかったと述べた［3］。
イタリアのデータ保護当局（Garante）は、国内の銀行の接続の安全性の不備について即時の確認を始めた［1］。銀行のデータ保護責任者の網には、自社のシステムの綿密な内部監査を行い、不備を確かめたらすぐに連絡するよう求めた［1］。銀行への依頼には、同じ認証メールの宛先からの「異常な」通信が無いかの確認と、同様の事例でのGDPR第33条に基づく報告も含まれる［1］。
Garanteの9月18日の発表では、Revolutの主たる拠点のあるリトアニアの当局に、Revolut Lithuaniaから侵害の届けを受けたかの確認と情報の共有を求めた［1］。内務省とも連絡を取り、他の銀行の関与と、侵害されたデータの種類と量を確かめるとした［1］。
英国の監督当局
英金融行動監視機構（FCA）の広報担当はCity A.M.に、報じられた件を把握しており、影響と対応を理解するため同社と連絡を取っていると述べた［10］。英情報コミッショナー事務局（ICO）の広報担当も同紙に、報告を受け、提供された情報を評価しているとした［10］。
15minはFinancial Timesを引き、ICOは月曜日（9月14日）に今回の件を調べていると表明し、Revolutはその数日前に自ら当局へ報告していたと伝えた［11］。
犯行を名乗る者の要求
The Recordの記事では、Revolutは恐喝の試みの有無について論評を控え、犯行を名乗るTelegramのアカウントはその後停止された［8］。
「Revolut Smilik」を名乗るハッカー集団はCity A.M.に、Revolutからの支払いを求めており、支払われなければ毎日さらにデータを公開すると伝えた［10］。同紙の理解では、Revolutとハッカーはまだ直接接触していない［10］。
PYMNTSの記事では、Wall Street Journalが9月16日にRevolutが恐喝の脅しを受けていると報じ、Revolutは同紙に法執行機関へ通報したと答えた［15］。
SecurityWeekによると、「IAmNotAVillain」を名乗る脅威アクターは、Revolutが払わなければ顧客情報を売ると脅した［12］。ハッカーは別の通信で、イタリアの法執行機関から147GB超のデータも盗んだと主張し、イタリアの警察が捜査を始めた［12］。Revolutの広報担当は同誌に、主張している個人や集団から直接の接触も要求も受けていないと答えた［12］。
Punto InformaticoはIl Sole 24 Oreを引き、内務省の基盤の調査では、データの持ち出しはまだ確認されていないと伝えた［13］。犯行を主張するために公開されたサイトはオフラインになった［13］。
Punto Informaticoの9月25日の記事では、IAmNotAVillainは内務省の文書の一部を公開した［14］。Moneroでの身代金の要求は24時間の期限が切れ、要求のサイトにはアクセスできなくなった［14］。実行者は顧客から直接金を得ようとし、Telegramでデータを約30万ドルで売る意向を示した［14］。法執行機関の文書を13万件超持っているとも主張している［14］。
未公表の事項
- 請求に使われたPECの宛先を攻撃者が使えた経路
- Revolutが請求を本物と判断するまでに取った確認の手順
- 実行者の身元
- 内務省のシステムからのデータの持ち出しの有無
- 顧客への二次被害の有無
注
出典
公的機関
- ［1］Garante per la protezione dei dati personali『L’Autorità Garante della Privacy e il caso Revolut』（2026年9月18日公開）
- ［2］Camera dei deputati『Seduta n. 711 di venerdì 18 settembre 2026』（2026年9月18日公開）
- ［3］Camera dei deputati『Seduta n. 717 di mercoledì 30 settembre 2026』（2026年9月30日公開）
- ［4］Camera dei deputati『Allegato B ai resoconti, seduta del 15 settembre 2026』（2026年9月15日公開、PDF）
調査・観測
- ［5］Hudson Rock『Revolut Hackers Used Infostealers for Elaborate Social Engineering』（2026年9月15日公開）
- ［6］ZachXBTのTelegramチャンネル（investigations）『Community alert: Revolut appears to have exposed personally identifiable information (PII) for a subset of users due to failing to detect a fraudulent government request.』（2026年9月12日公開）
報道機関
- ［7］SecurityWeek『Personal, Financial Info Exposed in Revolut Data Breach』（2026年9月14日公開）
- ［8］Recorded Future News『Revolut handed customer data to fraudsters using government email account』（2026年9月14日公開）
- ［9］Help Net Security『What we know about the Revolut data breach so far』（2026年9月14日公開）
- ［10］City A.M.『Revolut hackers stole nearly 700 customers’ private data』（2026年9月15日公開）
- ［11］15min『Paaiškėjo, kiek „Revolut“ klientų Europoje nukentėjo dėl duomenų saugumo pažeidimo』（2026年9月16日公開）
- ［12］SecurityWeek『Revolut Data Breach: 5 Months, 680 High-Profile Accounts, $3M Ransom』（2026年9月17日公開）
- ［13］BlazeMedia srl『Revolut e IAmNotVillain, nessuna prova del furto di dati al Viminale』（2026年9月18日公開）
- ［14］BlazeMedia srl『Caso Revolut: online i documenti del Ministero dell'Interno』（2026年9月25日公開）
- ［15］PYMNTS『Revolut Pays for New Customer IDs After September Data Breach』（2026年10月7日公開）
背景資料
- ［16］Revolut Group Holdings Ltd『Annual Report 2025』（2026年4月29日公開、PDF）
更新記録
- 2026年9月18日：公開した。
- 2026年9月25日：Punto Informaticoの9月25日の記事（出典14）を加え、「対応と現状」の犯行を名乗る者の要求の小節を改めた。
- 2026年9月30日：イタリア下院の9月30日の速記録（出典3）を加え、「経緯」「時系列」と「対応と現状」のイタリアの当局と議会の小節を改めた。
- 2026年10月7日：PYMNTSの10月7日の記事（出典15）を加え、リードの最後の文と「対応と現状」の犯行を名乗る者の要求の小節を改めた。