Revolut、DriveWealth経由で1か月に2度目のデータ侵害に直面

今月に入って2度目、Revolutの顧客（アイルランドの数千人を含む）がデータインシデントに直面した。今回はRevolut自身のシステムではなく、サードパーティのプロバイダーによるものだ。

DriveWealthは、以前にRevolutユーザーの米国株取引を担当していた米国のブローカーで、侵害は9月4日と5日に発生したと述べた。

DriveWealthが侵害された方法

ソーシャルエンジニアリングは、ソフトウェアの欠陥を直接悪用するのではなく、個人を騙して機密データを漏らさせる手法である。DriveWealthは、今回の攻撃者がこの方法で不正なネットワークアクセスを取得したことを確認した。

公開されたのは、Revolutが取引モデルを変更する前の過去の顧客記録のみである。欧州経済領域（アイルランドを含む）では、その期限は2023年12月であった。Revolutはその後、DriveWealthとの個別顧客詳細の共有を停止したため、最近のユーザーは影響を受けていない。

露出したデータには、氏名、メールアドレス、電話番号、住所、雇用情報、市民権、年齢、性別などの個人情報が含まれる可能性がある。また、DriveWealthのアカウント番号の一部も侵害された。

パスワード、支払いカード情報、銀行情報、Revolutのパスコード、身分証明書は侵害されていない。Revolutの広報担当者は確認したところによると、DriveWealthが影響を受けた顧客に直接連絡し、Revolutも独自のメールでフォローアップした。

Revolutの顧客が繰り返し侵害に直面する理由

今回の侵害は、9月上旬の別のインシデントに続くもので、正規のイタリア政府メールドメインを使用した巧妙ななりすまし詐欺により、Revolutが機密データを公開してしまったものだ。そのケースでは、全世界で約680人の顧客が影響を受け、身分証明書が含まれていた。

DriveWealthのインフラを利用する他のプラットフォームも影響を受けた。StakeとHatchも同様の情報露出があったことを確認した。

RevolutもDriveWealthも、影響を受けた顧客の正確な数を公表していない。Revolutはアイルランドだけで約340万人の顧客にサービスを提供している。

影響を受けたユーザーは、通信を監視し、フィッシングの試みに注意し、懸念があれば公式チャンネルを通じてRevolutに連絡する必要がある。1か月で2度の侵害は、サードパーティのフィンテックインフラに関連するリスクの増大を浮き彫りにしている。