Revolutは侵入されていない。何者かが盗んだ政府のメールボックスから、警察の書類を送っただけだ

Revolutは、約680人の欧州の顧客に関するデータが、同社のインフラには一切侵入していない犯罪者によって取得されたことを認めた。彼らはそのデータを「請求」したのである。乗っ取られたイタリア政府のメールボックスから、法執行機関の書類を装った照会が届き、Revolutはおよそ5か月にわたってそれに応じ続けた。

これは脆弱性の話ではない。CVEもなければ、パッチも、影響を受けるバージョンの一覧もない。破綻したのは、あらゆる銀行、取引所、プラットフォームが運用していながら、ほとんど誰もセキュリティ境界として扱っていないチャネル——警察からの照会に応じる窓口である。

何が渡されたのか

照会は、同グループのリトアニア登記の銀行法人であるRevolut Bank UAB宛てに、イタリアの郵便警察（Postal Police）の名義で行われた。Security Affairsによれば、送信元のアカウントは内務省の認証電子メールドメイン pec.interno.it 上にあり、レッジョ・カラブリア県庁に紐づくものだったという。照会は欧州捜査令状（European Investigation Order）——EU加盟国が他の加盟国から証拠の提出を強制する際に用いる越境手続——の形式をとっていた。対象者は、暗号資産アドレスをまとめて提出し、その背後にいる人物を問い合わせることで選び出された。

Revolutは、社内システムと顧客資金は侵害されておらず、当該の活動を検知した時点で問題のアドレスをブロックし、影響を受けた顧客に連絡したとしている。恐喝については、同社はSecurityWeekに次のように述べた。

Revolutは、こうした主張を行っている個人ないしグループから、直接の連絡や要求を一切受け取っていない。

「IAmNotAVillain」という別名を使うこの人物は、Revolutに直接接触する代わりに要求を公開し、データを他者に売却すると脅している。

メールボックスそのものが認証情報だった

イタリアのPEC（認証電子メール）は法的効力を持つ制度であり、だからこそ pec.interno.it から届いたメッセージは重みを持った。だが、その裏にある侵害はきわめてありふれたものだ。CyberInsiderによれば、Hudson Rockは同ドメインの認証情報およそ300件が、ありふれたインフォスティーラーのログに紛れ込んでいるのを確認している。通常のアカウント乗っ取りを支えているのと同じ、盗まれたパスワードの流通在庫である。内務省に侵入する必要はなかった。必要だったのは、端末をマルウェアに感染させられた職員が一人と、その結果を小銭で転売する市場だけだった。

ここにある非対称性は直視する価値がある。銀行は認証、不正スコアリング、取引モニタリングに多額を投じる。その一方で、実質的な本人確認が「送信元ドメイン」と「書類の見た目」でしかない受信箱を、外部に開いたままにしている。

照会窓口は本番環境へのアクセス経路である

法執行対応の機能は、金融機関が保有する最も機微なデータ——身分証明書、残高、取引相手、資金の動き——への一本のアクセス経路である。しかしそれは通常、エンジニアリングではなく法務やコンプライアンスの業務として運用される。その結果、同じデータに至る他のどの経路なら当然に求められる統制も、この経路には及ばない。照会者の強力な認証もなければ、レート制限もなく、一つの送信元が突如として数百件の照会を出したときの異常検知もなく、誰かが実際に見返す監査証跡もない。

打つべき手は地味で、その多くは手続き上のものだ。照会元の担当官を、照会書に書かれた番号ではなく、当該機関が公表している番号を使って別経路で確認すること。単一の送信元からの照会件数の急増を、業務量の問題ではなくインシデントの兆候として扱うこと。開示の記録を、セキュリティ部門が見える場所に残すこと。このうちいくつかが機能していれば、5か月の期間は数日に縮んでいたはずである。

規制上の問いも残されており、欧州はまだ答えを出していない。Euronewsによれば、レッジョ・カラブリアの検察が捜査を開始し、全国反マフィア・反テロ局が関与し、イタリアのデータ保護当局が確認作業に入ってリトアニアの同種機関に連絡を取っている。越境の法的照会をどう認証するのか、その基準を担う主体は今なお存在しない。それが決まるまで、信頼のモデルは「送信元のメールドメイン」のままである。

影響を受けた人が前提とすべきこと

680人にとって、実際の危険は差し迫ったものというより、長く尾を引くものだ。パスポート、運転免許証、本人確認用セルフィーは更新（ローテーション）できない。こうした素材は、口座開設詐欺や、他事業者に対するSIMスワップ・サポート窓口へのなりすましの原材料であり、何年にもわたって使える。通知を受けた人は、実際の口座情報を織り交ぜた、よく作り込まれた標的型のソーシャルエンジニアリングを想定すべきであり、この件に言及してくる一方的な連絡は、まず敵対的なものとして扱うのが妥当だ。

未確認のまま残る主張もある。同じ人物は、イタリアの法執行機関のシステムに約6か月アクセスし、内部資料およそ147GBを持ち出したと述べている。これは攻撃者側の主張であり、報じられてはいるが確認はされておらず、捜査当局もこの数字を裏づけていない。

Sources: SecurityWeek · Security Affairs · Euronews · CyberInsider