デジタル銀行大手のRevolutが偽の政府要請を本物と誤認し、顧客のパスポートや自宅住所、ビットコインの取引履歴などを漏洩した。
同社のセキュリティチェックを通過した偽の政府機関メールが原因で、本人確認書類や全取引履歴が外部に渡った。
顧客資金は無事だったものの、AIによるなりすましが企業の承認システムを突破した事例として、金融機関の個人情報の扱いに一石を投じている。
事件のあらましとRevolutの対応
偽造された政府機関のメールがチェックを通過
偽の政府機関を装ったメールが、Revolutのセキュリティチェックを通過した。このメールには正規の政府機関から送られたように見える資格情報が含まれており、同社の確認プロセスをすり抜けた。
Revolutはリクエストを正当なものと判断し、顧客情報を提供した。その後、別途その機関に連絡したところ、リクエストが詐欺だったことが判明した。影響を受けたユーザーに送られた通知で、この経緯が明らかにされた。
顧客資金は無事、しかし影響範囲は不明
同社は通知の中で、顧客資金は安全だと説明している。影響を受けたユーザーと規制当局への通知も済ませ、リクエストの発信元をブロックしたという。
一方で、何人の顧客が影響を受けたのかは公表していない。CoinDeskのコメント要請にも即座には応じていない。現時点では侵害の規模は明らかになっておらず、不安が残る。
資金が動いていないのは不幸中の幸いだが、漏れた情報は一度流出すると回収できない。特に本人確認書類はコピーが残るため、長期的なリスクをはらむ。
流出した情報の範囲、ビットコイン取引履歴の重み
パスポートから取引履歴まで、広範囲の個人情報
今回漏洩した情報は、パスポートや運転免許証、認証用セルフィー、氏名、生年月日、職業、自宅住所、メールアドレス、電話番号、IBAN、口座明細、引き出し記録、全取引履歴に及ぶ。これにはビットコインの取引履歴も含まれている。
つまり、本人確認とコンプライアンス要件を満たすために銀行が収集した、極めて詳細な個人情報の束が丸ごと流出したことになる。顧客の生活の輪郭がほぼ把握できるレベルだ。
金融機関がこれだけの情報を集めるのは、マネーロンダリング防止やテロ資金供与対策などの規制に応じるためだ。しかし、その分だけ漏洩時の被害も大きくなるというトレードオフが浮き彫りになった。
オンチェーン活動と実名が結びつくリスク
ビットコインはブロックチェーン上に取引記録が公開される。一方、パスポートや自宅住所、職業などの個人情報はネットワークの外にある。この2つの情報を金融機関が結びつけると、顧客データベースは実在の人物とオンチェーン活動を結ぶ地図になる。
悪意のある第三者がこの地図を手に入れれば、大口のビットコイン保有者を特定し、標的にする恐れがある。今回の侵害が、まさにそのようなリスクを現実のものにした。
オンチェーン調査者のZachXBTは、今回の侵害が高額資産家のユーザーを標的にした可能性があると指摘している。被害者の中に大口保有者が含まれていれば、その後のフィッシングや脅迫などの二次被害が懸念される。
偽政府要請がセキュリティを突破した理由
内部チェックを通過した「正規に見える」リクエスト
今回の弱点は承認プロセスにあった。リクエストが内部チェックを通過すると、政府職員を装う人物が、銀行が収集した機密性の高い個人情報にアクセスできてしまう。
従来のセキュリティ対策は、外部からの不正アクセスを防ぐことに重点を置いてきた。しかし、正規の資格情報を持っているように見えるリクエストが内部チェックを通過してしまうと、その後は歯止めが効かない。
いわば「ドアを開けてからの防御」は存在しなかったことになる。リクエストの見た目の正当性をいかに見抜くかが、これからの課題になる。
AIがなりすましを安価に大量生産する時代
AIの進歩により、説得力のあるメールや文書、身元情報、官僚的なリクエストを安価に大量作成できるようになった。これが今回のような攻撃を容易にしている。
金融機関は顧客が誰で、どこに住み、どのように資金を動かすかについて、ますます詳細な記録を保持し続ける。AIによるなりすましが進化するほど、この組み合わせが危険になる。
攻撃側のコストが下がれば下がるほど、防御側はより多くの偽リクエストに対処しなければならない。セキュリティの自動化とAIの活用が急務となる。
AI時代のなりすましとデータ最小化の必要性
セキュリティの問いが変わる
AIがなりすましを容易にするにつれて、セキュリティの問いは「機関が顧客データをどれだけうまく保護するか」から「そもそもどれだけの機密情報を収集・保持・開示する必要があるのか」に移っている。
どれだけ強固な防御を築いても、正規に見えるリクエストが内部チェックを通過してしまえば、情報は漏れる。防御の厚さではなく、守るべき情報の量を減らす発想が求められている。
この考え方は、セキュリティ業界では「データ最小化」と呼ばれる。収集する情報を必要最小限に抑え、保持期間も短くする。今回の事件は、その原則が金融機関に欠けていたことを示している。
企業は個人情報をどこまで保持すべきか
金融機関が本人確認やコンプライアンスのために収集する情報は、規制上必要とされる範囲を超えて蓄積されがちだ。ZachXBTの指摘は、こうした過剰なデータ保持が新たな攻撃面を生むことを示している。
規制当局はこれまで、金融機関に対してより詳細な本人確認を求めてきた。しかし、今回の事件はその方向性自体を再考する契機になる。本人確認の水準を落とさずに、データを最小化できる技術が求められている。
これは単なる技術課題ではない。規制とプライバシーのバランスをどう取るかという、より根本的な問いだ。
ゼロ知識証明が示す解決の方向性
ZKPとは何か、なぜ今回の事件で注目されるのか
ゼロ知識証明（ZKP / Zero Knowledge Proof）は、本人確認が完了したことや、顧客が特定の要件を満たすことを証明しながら、パスポートや住所などの基礎情報をあまり明かさない技術だ。
たとえるなら、身分証を見せずに「自分は18歳以上である」と証明するようなものだ。年齢という事実だけを相手に伝え、生年月日や住所などの余計な情報は開示しない。
今回の侵害は、この技術に直接的なユースケースを与えた。金融機関が本人確認の結果だけを保持していれば、漏洩しても被害は限定的で済む。
本人確認をしながら情報を明かさない技術
ビットコインは取引が公開される一方、個人情報はネットワークの外にある。ZKPはこの2つの間の橋渡しを、情報を最小限に保ちながら実現できる。
金融機関がZKPを採用すれば、顧客が本人であることを確認しつつ、システムに保存する個人情報の量を大幅に減らせる。そうなれば、今回のような偽リクエストが成功しても、手に入る情報はごくわずかになる。
プライバシーと規制対応を両立させる技術として、ZKPへの関心は今後さらに高まると見られている。暗号資産業界ではすでに、KYC（顧客確認）をZKPで行う試みが複数進行している。
とはいえ、ZKPも万能ではない。導入コストや処理速度の課題が残る。ただ、今回のような事件が続く限り、導入への圧力は高まる一方だ。
この記事のポイント
- Revolutが偽の政府要請を本物と誤認し、パスポートや自宅住所、ビットコイン取引履歴などの個人情報を漏洩した
- 顧客資金は無事だったが、影響を受けた顧客数は公表されていない
- AIによるなりすましが企業の承認システムを突破する新たなリスクとして浮上した
- ゼロ知識証明（ZKP）が、情報を明かさずに本人確認を行う解決策として注目されている
- セキュリティの焦点は「防御の強化」から「データ最小化」へ移りつつある
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。