Revolut、偽政府メールで顧客データ漏洩
原題: Revolut confirms customer data breach through fake government requests
なぜ重要か
8,000万人規模のユーザーを持つRevolutが政府機関へのなりすましという新手の手口で情報漏洩した事実は、フィンテック業界全体の本人確認プロセスの脆弱性を浮き彫りにする。
英フィンテック大手Revolutは2026年9月12日、正規の政府機関ドメインを悪用した偽メールにより、不正な第三者に顧客の個人情報を開示していたことを認めた。漏洩データには氏名・住所・電話番号・生年月日に加え、パスポートや運転免許証の写し、自撮り認証画像、口座明細、取引履歴が含まれる可能性がある。同社は被害顧客に個別通知済みだが、影響人数は非公表。
Revolutは顧客への通知メールで、第三者が正規の政府機関のメールドメインを使い、偽の情報開示請求を送付したと説明した。同社はこの請求を本物と判断し、顧客の個人情報を提供してしまった。漏洩した可能性がある情報は、氏名・生年月日・郵便・メールアドレス・電話番号のほか、パスポートや運転免許証のコピー、本人確認用の自撮り写真、口座明細、取引履歴に及ぶ。
同社スポークスパーソンはTechCrunchに「被害者は限定的」と述べ、不審なメールアドレスをブロックして関係当局・法執行機関・監督機関に報告済みであることも明らかにした。「Revolutのシステムと顧客資産は影響を受けていない」とも強調したが、被害者数・対象市場・関与した政府機関については回答を拒否した。
この件を最初に公にしたのは著名な暗号資産セキュリティ研究者のZachXBTで、金曜夜遅くにRevolutが送った通知メールをSNSに投稿した。同氏は「高額資産保有ユーザーを狙ったと見られる」とコメントしている。
Revolutはグローバルで8,000万人超の顧客を抱え、30カ国以上で銀行業務を展開する。今月初めには米通貨監督庁（OCC）から国法銀行設立の条件付き認可を取得したばかりで、2027年上半期の米国正式ローンチを目指している。また、最大2,000億ドルの評価額でIPOを検討中との報道も出ており、英仏での銀行ライセンス取得など事業拡大が続く中での情報漏洩となった。