パスポートと自撮り写真が流出 — Revolutへの攻撃が示す「人間が最大の弱点」

スマホだけで使えるデジタルバンクだよ。欧州を中心に世界で4000万人以上が使ってる。口座開設がアプリで数分でできて、海外送金の手数料が安いことで人気なんだ。

そう。ソーシャルエンジニアリング攻撃を受けて、顧客のパスポート写真・自撮り写真・金融記録・取引履歴が流出した。攻撃者はRevolutの社員を騙してシステムへのアクセス権を奪ったんだよ。

技術的なハッキングじゃなくて、人間を心理的に騙す攻撃のことだよ。「IT部門です、緊急対応が必要です」と電話してパスワードを教えさせたり、アクセス権を付与させたりする。システムを破るより人間を騙す方が簡単なことが多いんだ。

フィンテック企業は口座開設のときにeKYCっていう本人確認をするんだよ。「パスポートを写して」「次に自分の顔を写して」って求めるあれ。Revolutみたいなサービスはその確認に使った画像を保存してる場合があって、そこが今回流出した。

超危険なんだよ。この2つのセットがあれば、攻撃者は他のサービスでその人になりすまして本人確認を通過できる可能性がある。銀行口座の不正開設や、その人名義でローンを組むことさえできちゃう。

まず登録しているメールアドレスのパスワードをすぐ変更すること。同じパスワードを他のサービスでも使い回してるなら、そちらも変更が必要だよ。あと、フィッシングメールや不審な電話にも注意して。漏洩データを使って「Revolutからです」とさらになりすましてくることがあるんだ。

「社員でも信頼しない」ゼロトラストの仕組みや、重要な操作に複数人の承認を必要とする多重認証が有効だよ。あと、本物そっくりの「偽IT部門電話」で社員が騙されるかテストするセキュリティ訓練も行われてるんだ。ペネトレーションテストの一種として認知されてる。

完全には防げないのが現実だね。でも「人間が弱点になりやすい」と知っているだけで、不審な連絡に疑いを持てるようになる。「電話でパスワードを求めることは正規の会社はしない」って覚えておくだけで、かなりのリスクを減らせるよ。