政府機関装う不正要請でレボリュート顧客情報開示
英フィンテック企業レボリュート（Revolut）が、政府機関からの正規の情報提供要請を装った不正な要請に応じ、一部顧客の個人情報を権限のない第三者に開示したことが明らかになった。米テックメディア「テッククランチ（TechCrunch）」が同社への取材を基に9月12日に報じた。なおレボリュートは同メディアに対し、影響を受けた顧客は「限定的な数」で、対象者には直接連絡したと説明している。
レボリュートは顧客向けプライバシー方針で、法的・規制上の義務を果たすため、政府当局や法執行機関などと顧客情報を共有する場合があると説明している。今回の事案では、こうした政府機関による情報提供要請を装った不正なメールが同社に送られ、それに対し同社は応じてしまった。
レボリュートが影響を受けた顧客に送付した通知によると、問題となったメールは、政府機関の公式ドメインインフラ内に作成された権限のないメールアカウントから送信されたとのこと。また同メールには有効なドメイン認証情報が含まれていたため、レボリュートは本物の政府機関からの要請だと判断し、情報提供に応じた。同社広報は今回の事案を「高度な外部なりすまし詐欺」と説明している。
同通知では、提供された可能性がある情報として、顧客の氏名、生年月日、職業、住所、メールアドレス、電話番号が挙げられている。また、本人確認（KYC）に用いられるパスポートや運転免許証などのコピーと、本人確認用の顔写真（セルフィー）も対象になった可能性があるとのこと。KYCは、金融機関などが顧客の身元を確認する手続きで、マネーロンダリングなどの金融犯罪防止を目的に実施される。
金融データでは、国際銀行口座番号（IBAN）、口座状況、口座開設日、ウォレット参照番号などを含む口座明細のほか、出金記録やビットコインを含む全取引履歴が提供された可能性がある。一方レボリュートは、生体認証に使用される顔の特徴データについては今回の事案に関与しておらず、侵害もされていないと顧客向け通知で説明している。
レボリュートは問題を認識した後、情報提供要請が正当なものだったかを確認するため、該当する政府機関に直接連絡した。その過程で同社は、同機関のドメイン内で権限のないアカウントが稼働しているとみられることを政府機関側に知らせた。
その後レボリュートは、問題となったメールアドレスを社内システムでブロックした。また同社広報によると、該当する政府機関や法執行機関、データ保護当局、金融規制当局にも今回の事案を通知したとのこと。レボリュートは、同社のシステムおよび顧客資金には影響がなかったと説明している。
一方、レボリュートは影響を受けた具体的な顧客数を明らかにしていない。またテッククランチなどの質問に対し、今回の事案が特定の国や市場に限定されたものかについて回答せず、問題となった政府機関も明らかにしていない。
オンチェーン調査で知られるザックXBT（ZachXBT）氏は9月12日、自身のテレグラム（Telegram）チャンネルでレボリュートの顧客向け通知の一部を公開した。同氏は、今回の事案の規模は限定的である可能性が高い一方、富裕層の顧客が標的となっていたように見えるとの見解を示している。
また暗号資産（仮想通貨）取引所マウントゴックス（Mt.Gox）の元最高経営責任者（CEO）マーク・カーペレス（Mark Karpelès）氏も同日、自身のXアカウントで顧客向け通知の内容を公開した。カーペレス氏は自身も今回の事案で影響を受けたと明かしたうえで、問題となった政府機関が公表されていないことを指摘。レボリュートまたは政府機関に対し、使用されたメールアドレスを含む詳細な情報の開示を求めている。
Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” https://t.co/sS2sbwAt8r
— Mark Karpelès (@MagicalTux) September 12, 2026