Revolutデータ漏洩ワークフローの追跡方法

Revolutは、正規の政府機関メールドメインから送信された不正な情報要求により、顧客のパスポートスキャンと完全なビットコイン取引履歴が「限られた」ユーザー数分だけ公開されたことを確認した。Decrypt、The Block、BeInCryptoの各報道によると、フィンテック企業はこの要求を標準的なコンプライアンスチャネルを通じて処理し、内部アドレスがなりすまされていることを検知できなかった。確認された変更は、KYC応答プロセスの単一ポイント侵害であり、広範なシステム侵入ではない.

オンチェーン調査者のZachXBTは、攻撃が高資産ユーザーを標的にした可能性があると推測したが、DecryptもBeInCryptoもその選定基準を独自に検証していない。影響を受けたアカウントの正確な数は3つの報道すべてで明らかにされておらず、攻撃者が漏洩した身分証明書や取引履歴を使用したかどうかを確認した出版社もない.

開始前に：影響を受けた要求経路をマッピングする

影響を受けたワークフローは、Revolutの政府要請対応手続きです。Decryptによると、不正な要請は政府機関自身のメールドメインから送信されたため、コンプライアンスチームにとって正当なものに見えたとのことです。The Blockは、偽の要請を受けて顧客のKYCデータとビットコイン取引データが流出したと報じています。BeInCryptoは、Revolutがこのメールに応じてパスポートのスキャン画像とビットコインの記録を送信したことを確認しています。.

ビットコインを保有している、またはRevolutにKYC書類を提出したことのあるユーザーにとって、運用上の結果は直接的です。すなわち、本物の召喚状と偽造された召喚状を区別すべき統制が機能しなかったということです。3つの報道機関の記事は、このメカニズムについて一致していますが、その枠組みは異なります。Decryptは公開されたデータの種類を強調し、The BlockはZachXBTの高額資産保有者の推測に言及し、BeInCryptoは開示そのものを確認しています。.

手順の流れ：Revolutのデータ流出ワークフローをたどる

ステップ1：確認されたデータ開示を特定する。Revolutは、パスポートのスキャン画像と完全なビットコイン取引履歴を要請者に送信しました。3つの情報源すべてがこれらのデータカテゴリを確認しています。The Blockは特にKYCデータとビットコイン取引データを挙げ、BeInCryptoはパスポートとビットコインの記録を挙げています。.

ステップ2：検証の失敗を特定する。要請は政府機関自身のメールドメインから送信されたため、標準的な検証チェックをすり抜けました。Decryptはこのメカニズムを直接報じています。コンプライアンスチームは、ドメインが正当に見えたため、それ以上の検証を行わずに要請を処理しました。これが確認されたワークフローの欠陥です。.

ステップ3：影響を受けた参加者層の評価。報道各社は「限定的な」ユーザー数について具体的な数字を示していない。The Blockが報じたZachXBTによる高額資産保有者を標的とした推測は、リスクプロファイルを絞り込むものの、未検証のままである。KYC書類やビットコイン取引履歴を持つすべてのRevolutユーザーに共通の業務影響が及ぶ。なぜなら、この情報漏洩により、単一の偽装ドメインが完全なデータ公開を引き起こし得ることが確認されたからである。.

ステップ4：確定した変更と未解決の詳細を区別する。確定事項：データ公開が発生したこと、正当な政府ドメインを使用したリクエストであったこと、公開されたデータにKYC書類とビットコイン取引履歴が含まれていたこと。未検証事項：正確なユーザー数、高額資産保有者アカウントが特に標的とされたかどうか、および履行前に内部アラートが発動したかどうか。.

確認項目：未解決のデータポイントを検証する

確認1：影響を受けたユーザー数。Decryptは「限定的な」ユーザー数と報じているが、The BlockとBeInCryptoは具体的な数を示していない。情報漏洩が数十件か数千件のアカウントに影響したかによって、業務影響は大きく変わる。Revolutの公式インシデント報告書または規制当局への提出書類をソース文書として確認し、この数値を確定する必要がある。.

確認2：標的基準。The Blockは、オンチェーン調査員ZachXBTが、このリクエストが高額ユーザーを狙った可能性があると推測したと報じているが、DecryptもBeInCryptoもその標的設定を独自に検証していない。Revolutまたは調査員からのソース文書が選択基準を明示するまで、標的設定は未確認の詳細事項である。.

確認事項3：完全なデータフィールド一覧。3つの報道機関はいずれも、パスポートスキャンとビットコイン取引履歴が含まれていたことで一致している。未解決の詳細は、KYC自撮り写真、住所証明書類、または法定通貨取引記録も送信されたかどうかである。Revolutはデータフィールドのリストを公開していないため、システムから流出した全容を把握するための次の確認事項は、流出したデータフィールドの完全な一覧である。.

限界：3つの報告書が明らかにしていない点

3つの報道機関の報告書は、Revolutがインシデント以降に本人確認手続きを公に修正したかどうかを明らかにしていない。インシデント後のレビュー、政府要請対応ワークフローの変更、または将来的に偽装ドメインを検知する内部警告メカニズムを確認できる情報源は存在しない。Revolutがインシデント後の報告書や、確認されたユーザー数とデータカテゴリを記載した規制当局への提出書類を公開するまでは、この情報漏洩は完全に範囲が確定したとはみなせない。.

影響を受けたユーザーにとって、当面のリスクは、パスポートスキャンと暗号資産の完全な取引履歴がRevolutの管理外に露出したことであり、標的型フィッシングやなりすまし詐欺が可能になることである。ここでのリスク分類は、本人確認ワークフローにおける運用エラーリスクと、フィンテック企業が保有する身分証明書の管理リスクを含む。ユーザーは、パスポートや暗号資産の履歴に言及する不審な連絡はすべて詐欺の可能性があると認識すべきである。なぜなら、攻撃者は現在、Revolutのコンプライアンスチームが公開したものと同じデータを保有しているからである。.

次のソース文書の確認事項は、Revolutが検証手続きを公に改訂したかどうかです。現時点で、そのステップを確認した出版社はありません。もし改訂されていない場合、ユーザーは同じリクエスト経路のギャップが依然として存在すると想定すべきです。3つの独立した報告書に共通する運用上の影響は、Revolutの検証ワークフローが政府ドメインのメールを十分な権限として受け入れ、リクエストが検証される前にパスポートスキャンとビットコイン取引履歴を公開したことです。これは、単なるデータ漏洩ではなく、ワークフローの欠陥を裏付けています。.

参照

• https://decrypt.co/378114/revolut-passports-bitcoin-activity-data-breach
• https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516
• https://beincrypto.com/revolut-data-breach-fake-government-request