Last Updated on 2026年9月13日 by oba3
英フィンテック大手レボリュート（Revolut）が、正規の政府機関から送られたように見える不正な情報開示要請を真正なものと判断し、一部顧客の本人確認情報や金融取引記録を権限のない第三者へ提供していたことが明らかになった。開示対象には氏名、住所、身分証明書、本人確認用の顔写真に加え、ビットコイン（Bitcoin）を含む完全な取引履歴などが含まれていた。現時点で顧客資金の流出やレボリュート本体への侵入は確認されていない。今回の問題は漏えい件数だけではない。本人の実名・住所と暗号資産取引の履歴を同時に保有する金融仲介者が侵害されると、匿名に近い状態で公開されているオンチェーン活動を現実の人物へ結び付ける手掛かりが生まれる点にある。
何が起きたのか？
レボリュートは2026年9月11日ごろから対象顧客へ通知を送り、政府機関からの正規要請を装った情報開示依頼に応じてしまったと説明した。問題のメールアカウントは単純に政府機関のドメインを偽装したものではなく、実際の政府機関のドメイン環境内に不正に作成されたアカウントだったとされる。
さらにメールはSPF、DKIM、DMARCといった通常の送信元認証を通過する正規のドメイン認証情報を持っていた。このためレボリュートは政府機関からの真正な要請だと判断し、対象となる顧客情報を提供した。
顧客への通知によると、開示された可能性がある情報には氏名、生年月日、職業、住所、メールアドレス、電話番号、パスポートや運転免許証などの本人確認書類、本人確認時の顔写真が含まれる。金融情報ではIBAN、口座状況、口座開設日、ウォレット参照番号、出金記録、ビットコインを含む完全な取引履歴などが対象になった。
レボリュートはその後、要請元とされる政府機関へ確認を行い、不正なアカウントだったことを把握した。該当アドレスを内部システムで遮断し、関係する規制当局へ通知したとしている。一方、影響を受けた顧客数、悪用された政府機関名、データが提供された具体的な日時などは公表されていない。
なぜ重要なのか？
今回の事案では、レボリュートの顧客口座へ第三者が直接ログインしたことや、社内データベースから無断で情報を抜き取ったことが確認されたわけではない。問題になったのは、本来は法執行機関などへ情報を提供するための正規の手続きだった。
つまり攻撃者は金融機関そのものを技術的に破るのではなく、金融機関が政府機関を信頼する仕組みを利用した。メール認証が正常でも、そのメールアカウントを操作している人物まで正当とは限らないことが示された形だ。
金融機関では政府や警察からの情報照会へ迅速に対応する必要がある。一方、開示されるデータには通常のメールアドレスだけでなく、本人確認書類や詳細な金融履歴が含まれる場合がある。そのため要請元の確認方法自体が重要なセキュリティ境界になる。
市場構造への影響
暗号資産では、ブロックチェーン上の取引記録が公開されていても、ウォレットアドレスだけから現実の人物を特定できるとは限らない。ところが取引所やフィンテックはKYCのため、実名、住所、身分証と暗号資産口座の活動を同じ顧客情報として管理する。
この二つが結び付くと状況が変わる。金融事業者が持つ出金記録やウォレット関連情報からオンチェーン上のアドレスとの対応関係を推測できれば、その後の資金移動は公開台帳を使って追跡できる場合がある。
特に多額の暗号資産を扱う顧客では、単なるプライバシー侵害にとどまらない。氏名、居住地、本人確認書類と資産活動が組み合わされれば、標的型フィッシング、本人なりすまし、アカウント回復手続きの悪用などに利用される可能性がある。
資金・規制・流動性との関係
KYCはマネーロンダリング対策や制裁対応のために金融機関へ求められる重要な仕組みだ。しかし同時に、金融仲介者へ高密度な個人情報を集中させる。暗号資産サービスを銀行やフィンテックが統合するほど、従来の銀行情報とオンチェーン資産の情報が同じ顧客記録へ集約されやすくなる。
そのため今後の論点は、KYCを行うか行わないかという二択ではない。政府からの情報要請についてメールドメインだけで判断せず、独立した連絡経路による確認、要請番号や担当者の照合、開示範囲の最小化などをどこまで標準化するかが重要になる。
今回レボリュートは影響を受けた顧客への保護措置を講じたとしているが、第三者が開示情報を実際にどのように利用したかは明らかになっていない。現時点ではビットコインが盗まれた事件と断定する材料はない。
初心者向け補足
KYCとは、金融機関が顧客の氏名や住所、身分証明書などを確認する本人確認手続きだ。銀行や暗号資産取引所が犯罪収益や制裁対象者による利用を防ぐために実施する。
一方、ビットコインのブロックチェーンには送金記録が公開されている。通常そこに氏名や住所は表示されないが、特定のウォレットアドレスが誰のものか分かれば、そのアドレスに関連する過去や将来の取引を分析できる場合がある。
今回の通知にはウォレット参照番号や出金記録、ビットコインを含む取引履歴が含まれていた。ただし、公開された情報だけでは第三者がすべての顧客ウォレットをオンチェーン上で完全に特定できたとは確認されていない。この点はリスクと確認済みの被害を分けて考える必要がある。
Web3Timesの視点
今回をレボリュートの情報漏えい件数だけで評価すると、暗号金融が抱える別の問題を見落とす。重要なのは、KYCを行う金融仲介者が現実世界の身元情報と公開ブロックチェーン上の資産活動を結ぶ接点になっていることだ。
ブロックチェーン自体にはパスポート画像も住所も保存されていない。しかし取引所や銀行が法定通貨との出入口になると、誰がどの暗号資産を取引し、どこへ出金したかという情報を保有する。このデータベースが侵害されれば、公開台帳の透明性が攻撃者にとって資産追跡の材料へ変わる可能性がある。
今後見るべきなのは影響顧客数だけではない。政府要請を複数経路で検証する仕組みが導入されるか、金融機関が暗号資産の取引情報と本人確認情報へのアクセスをどこまで分離するか、法執行対応で必要以上のデータを一括提供しない設計を作れるかが重要になる。
暗号資産の安全性は秘密鍵だけでは決まらない。KYC、銀行口座、取引履歴、オンチェーンアドレスを接続する事業者が増えるほど、情報を結び付けるデータベースそのものが重要な金融インフラになる。今回の事案は、公開台帳の透明性と本人確認制度が交わる場所に新しい集中リスクが生まれていることを示した。
