Revolut、偽の政府機関メールで顧客データが流出
Revolut confirms customer data breach through fake government requests
英フィンテックのRevolutは、正規の政府機関ドメインから送信された偽の情報開示請求により、顧客の個人情報が不正な第三者に渡ったことを認めた。流出した可能性があるのは生年月日、住所、メールアドレス、電話番号、パスポートや運転免許証のコピー、本人確認用セルフィー、取引履歴など。同社は影響を受けた顧客に直接連絡したが、対象者数や該当市場、関与した政府機関は明らかにしていない。
Revolut recently identified a sophisticated external impersonation scam where an unauthorised third party utilised a legitimate government agency domain email to submit fraudulent requests for information.
HNでの議論
130- neither_color
Revolutカードで面白い経験をした。旅行のときだけチャージしていて、それ以外のときはほぼ空っぽで、3〜4ドルくらいしか入っていない。ある時から、たまに取引が拒否されたという通知が届くようになった。ゲームのポイントとか、適当な小さなオンラインショップとか。明らかにカードがスキミングされたか、何らかの形で漏れたんだろう。最悪だ。
次の旅行までまだ何ヶ月もあったから、すぐにカードを解約はせず、好奇心からそのままにしておいた。拒否された加盟店を片っ端からブロックし始めた。するとある時、Netflixのサブスクリプションの試行が来るようになり、それをブロックしようとしたら「Netflixへの支払いはブロックできません。Netflixでサブスクリプションを契約している場合は、直接解約してください」と表示された。一体彼らのバックエンドはどんなルーブ・ゴールドバーグ装置で動いているんだろうと思ったよ。
- hndhyc0bdt
しばらく法執行機関向けの窓口を運営していたが、来るものは全部.govっぽいメールアドレスからのPDFだった。我々にできる唯一の実効的な管理は、レターヘッドに書かれた番号ではなく、自分たちで調べた番号でその機関に電話をかけ直すことだけだった。
- rawland
どうしてこんなことが現代のフィンテックで起きるんだ…特に本人確認をこんなにずさんに扱うなんて？
> Revolutの広報担当者はTechCrunchに対し、「限られた」数の顧客が影響を受けたことを認め、同社がそれらの顧客に直接連絡したと述べた。しかしRevolutは、影響を受けた個人の正確な数を明らかにしなかった。また、このインシデントが特定の市場に限定されたものかどうかにも答えず、関与した政府機関の開示も拒否した。
ここでの透明性の欠如は、晒された富裕層を守るためなのか、それとも単に無能さを隠そうとしているだけなのか？
- tdrz
彼らのエージェント（人間か自動化かは不明）とのやり取りで得た返信の一つがこれだ：
「お客様の個人データは、法律に従って消去が許容されるまで保持される必要があります。ご安心ください、データは完全に安全であり、この目的のためだけに保持されます。」
これは、私が彼らにこの記事を送ったのと同じやり取りの中でのことだった。
- codedokode
これは、喜んでパスポートや自撮りをアプリにアップロードしている人々に何が起きるかについての注意喚起だ。ロシアの地下フォーラムに流れたくなければ、そんなことはやめたほうがいい。
- janandonly
本人確認データ（スキャンしたパスポートなど）を保存する必要はない。問題は「顧客の身元を確認したか？」であり、答えがYesなら、そのようにマークすればいい。これらのスキャンを保存する必要は全くない。
- autotune
以前、Revolutアカウントへのアクセスを失い、主要なメールアドレスとMFAへのアクセスを失った後では復旧がうまくいかなかった。彼らはまた、モバイルアプリでの小切手預け入れ機能も削除した。これらの理由から、4%のAPYの貯蓄口座金利がどれほど気に入っていても、もう本物の銀行としては扱えない。Gmailのように、セカンダリのメールアドレスを使った復旧オプションがあったわけでもない。似たようなものを実装できただろうに。
- hrpnk
たとえトリガーがなりすましだったとしても、政府がデータを受け取るための安全なチャネルを提供していないのはなぜだ？これもまた侵害されていたのか？