Revolutのハッカが身代金を300万ドル（モネロ）に再要求
オンライン金融サービスRevolut（レボリュート）の顧客データ流出事件をめぐり、iamnotavillain（アイ・アム・ノット・ア・ヴィラン）と名乗るハッカー集団が約300万ドル（約4.7億円）相当のモネロ（Monero/XMR）を要求し、24時間以内の支払いを迫っていることが明らかになった。
今回の情報流出の発端となったのは、Revolutのインフラへの直接的なサイバー攻撃ではなく、正規の政府機関のドメインを悪用した不正なリクエストだった。攻撃者は政府関係者を装うことで同社のセキュリティチェックを巧妙にすり抜け、結果として顧客の個人情報や取引履歴が記載された記録が流出する事態となった。
流出したとされるデータには、氏名、生年月日、自宅住所、メールアドレス、電話番号のほか、本人確認（KYC）の際に提出されたパスポートや運転免許証の写し、自撮り写真などが含まれている。さらに、国際銀行口座番号（IBAN）や取引履歴、ビットコインウォレットの参照番号なども含まれており、被害を受けた口座は少なくとも680件に上るとされています。
もっとも、Revolut側は、生体認証用の顔データや決済カードの完全な情報、パスワードなどは流出していないと説明しています。また、同社の基幹システムや顧客の資金そのものは安全な状態が保たれていると主張しています。
モネロによる身代金の要求と追跡の困難性
ハッカー集団は英フィナンシャル・タイムズ紙に対し、ブロックチェーン分析を活用して多額の暗号資産を保有している富裕層の顧客を選定したと主張している。彼らは、顧客記録を他の犯罪グループに売却すると脅迫し、身代金として6,000 Monero（約300万ドル相当）を24時間以内に送金するよう要求した。
匿名性が極めて高いプライバシーコインであるモネロは、送信者や受信者、送金金額に関する情報を秘匿するように設計されている。そのため、ビットコインなどの透明性の高いネットワークとは異なり、恐喝に関連する取引や資金の流れを捜査当局が追跡することが非常に困難になるという懸念が指摘されている。
関係機関による対応と今後のリスク
事件の発覚後、Revolutは当該の不正メールアドレスを直ちにブロックし、英国の情報コミッショナー・オフィス（ICO）などの規制当局や法執行機関に通報した。現在、ICOをはじめとする関係機関によって本格的な調査が進められている。
専門家や規制当局は、今回の流出によって実名や取引履歴、本人確認書類が結びついたユーザーに対し、二次被害への警戒を呼びかけている。正確な個人情報を用いた巧妙なフィッシング詐欺やなりすましメッセージが届く恐れがあるため、不審な連絡を受けた場合は公式アプリなどの安全なルートを通じて真偽を確認することが重要とされている。
米国においても、被害を受けた可能性がある顧客に向けて、連邦取引委員会（FTC）の専用窓口を通じた対策や詐欺被害の報告が推奨されている。
