Revolutによる顧客情報の不正開示
Revolutは、政府機関からのリクエストに見せかけた詐欺的な要求に応じて、顧客の身元や財務記録、ビットコインの取引履歴を開示しました。オンチェーン調査者のZachXBTがTelegramで共有したRevolutの顧客通知によると、このリクエストは公式な政府機関のドメインを使用した無許可のメールアカウントから送信されました。
「通信が有効なドメイン認証資格情報を持っていたため、それは本物の政府機関からのリクエストであるという合理的な信念の下で履行されました」と通知は述べています。
リクエストの詳細と影響
通知には、機関の名前や無許可の送信者がどのようにそのメールドメインにアクセスしたかは記載されていません。また、リクエストや開示の日付も示されていません。ZachXBTは、複数の顧客が9月11日金曜日に警告メールを受け取ったと述べていますが、彼自身や彼の投稿に示された通知の一部は、影響を受けたユーザーの確認された数を示していません。
Revolutは、提供された身元詳細の中に顧客のフルネーム、生年月日、職業を含めました。連絡先情報には、郵送先住所、メールアドレス、電話番号が含まれています。リクエストは、パスポートや運転免許証などの身分証明書のコピーの開示ももたらし、顧客が身分確認のために提供した自撮り写真も含まれています。
開示された情報の内容
Revolutは、これらの画像と生体顔テレメトリーデータとの違いを明確にし、後者は関与していないと述べています。口座明細書も開示された資料の一部を形成しました。通知によると、明細書にはIBAN、口座状況、口座開設日、ビットコインウォレットの参照番号が含まれていました。
引き出し記録やビットコイン取引を含む完全な取引履歴も提供されました。通知には、開示された可能性のある情報のカテゴリがリストされていますが、影響を受けたすべての顧客がすべての種類の記録をファイルに持っていたことを確立するものではありません。
規制当局の対応とRevolutの今後
英国情報コミッショナー事務所は、個人データの漏洩の可能性のある結果には、身分盗用、詐欺、財務損失が含まれると述べています。規制当局のガイダンスは、組織が特定の個人データの漏洩を認識した後72時間以内に報告し、権利と自由へのリスクが高い場合には遅滞なく個人に通知する必要があるとも述べています。
この事件は、Revolutが銀行およびデジタル資産サービスを拡大している最中に発生しました。8月26日、同社はデンマーク、ポーランド、ポルトガルの選ばれた顧客にユーロに裏付けられたEURRステーブルコインを提供し、さらなるヨーロッパでの提供が計画されています。
Revolutは、米国の顧客にLead Bankを通じて銀行サービスを提供しており、提案された国立銀行は、開設する前に連邦預金保険公社からの預金保険、連邦準備制度の承認、および最終的なOCCの承認が必要です。
