フィンテック大手Revolutは顧客データ侵害を受け、ハッカーが法執行機関からの緊急データ要求を偽造したことを認めた

要約:

英国の有名な金融テクノロジー大手である Revolut は、政府機関や法執行機関からの偽の緊急データ要求 (EDR) を使用したハッカーによる詐欺攻撃を受け、一部の顧客の個人プライバシー データが漏洩したことを公式に認めました。このサイバーセキュリティインシデントにより、テクノロジー企業のコンプライアンスおよび法的審査チャネルに対する新たなソーシャルエンジニアリング攻撃のリスクが再び明らかになりました。この事件に関与した規制当局とデータ保護当局は現在、捜査に介入している。偽造された政府法執行文書が極秘に暴露され、デジタル バンキング大手 Revolut は顧客データ侵害が発生したことを認めた

デジタル バンキング大手の Revolut は最近、顧客の個人データ漏洩に関わるセキュリティ インシデントが発生したことを認めました。攻撃者は、高度にシミュレートされた偽の政府および法執行機関の法的立証要求を使用して、内部コンプライアンスおよびレビュープロセスを回避し、一部の顧客の機密情報を違法に取得しました。

Revolut が影響を受けるユーザーと規制当局に開示した情報によると、ハッカーグループは正規の政府部門や法執行機関からの公式の手紙、電子メール、電子認証情報を偽造することで、プラットフォームのデータ要求処理チームに緊急情報開示指示を送信しました。このタイプの偽造リクエストは、見た目も形式も非常に欺瞞的であったため、関連する内部サポート担当者や法令順守担当者が検証プロセス中に誤った判断を下し、最終的には規制に従って一部のアカウントのバックグラウンドデータが処理され、公開されました。

漏洩したデータには主に、氏名、登録メール アドレス、電話番号、一部の取引履歴記録やアカウント メタデータなど、一部の影響を受ける顧客の基本的な個人識別情報が含まれています。 Revolutは、ユーザーのログイン認証情報、パスワード、動的PINコード、銀行カード番号などの中核となる金融セキュリティ認証情報は影響を受けていないことを強調した。プラットフォーム上のユーザーの資金と資産は完全に安全であり、システム自体の基礎となる暗号化アーキテクチャは技術的に侵害されていません。

内部セキュリティ メカニズムが異常なデータ フロー パターンを捕捉した後、Revolut は直ちに緊急対応プロセスを開始し、関連する攻撃リンクをブロックし、すべての保留中および過去にバックログとなっている法執行支援調査申請の包括的な遡及監査を開始しました。同時に、同庁は関係国のデータ保護規制当局と法執行機関にこの事件を正式に報告し、専門のサイバーセキュリティ機関と協力して、偽造リクエストの背後にある特定の組織やハッカーグループを追跡している。

このインシデントは、金融テクノロジー企業に対する新しいタイプのソーシャル エンジニアリング攻撃のリスクを再び明らかにしました。つまり、技術的なファイアウォールをバイパスし、法律や政府の問題を正確に欺瞞して処理する非技術的なコンプライアンス チャネルを直接標的にするというものです。同様の事件の再発を防ぐため、Revolutは法的実証と審査システムを包括的に再構築し、より厳格な複数当事者によるオフライン検証メカニズムを導入し、ますます複雑化する偽の政府認可攻撃に対処するために自動化された不正防止プロセスと資格情報の相互検証プロセスをアップグレードしていると述べた。現在、影響を受けるユーザーには独占的なセキュリティ通知が相次いで届いている。同社は、関係するユーザーに対し、近い将来さらに警戒し、偽の公式カスタマーサービス担当者による二次的なフィッシングやSMS詐欺の検出に注意するよう推奨している。