9月13日、Revolut から不正に引き出された利用者の本人確認書類と、本人確認のときに撮った顔写真とされる画像が、X と Telegram に投稿され始めた。投稿した側は、Revolut が支払うまで毎日公開する量を増やすと予告している。
3日前までは、偽の政府要請に応じて渡ってしまった情報が、一つの相手の手元にあるという話だった。いまは、それを誰でも拾える場所に置くと脅されている。持ち主が一人から不特定多数に変わると、使われ方の幅も変わる。
何が出てきて何がまだ分からないのか、そして身分証と顔写真が揃って出回ることが、使う側の何に触るのかを順に見ていく。
支払いを求める投稿と、確かめられていないこと
City AM によると、攻撃者は「Revolut Smilik」を名乗り、同社が支払うまで日ごとに公開を増やすと書いている。The Crypto Times が引く投稿の文面は、顧客の情報を漏らした代償を Revolut が払うまで、毎日より多くのデータを出していく、というものだ。AML Intelligence も、関与を名乗るアカウントがデータとされるものの投稿を始め、支払いを求めていると伝えている。
ここは線を引いておきたい。投稿された画像や書類が本物かどうかは、執筆時点で Revolut も捜査当局も確認していない。要求額も公表されていない。SNS 上には巨額のビットコインを要求しているという話も流れているが、裏付けは出ていない。
Revolut の説明は変わっていない。政府機関の正規のドメインのメールを使った巧妙ななりすましで、発覚後すぐにそのアドレスを遮断し、当該機関と捜査当局、データ保護と金融の規制当局に知らせた。中核のインフラ、データベース、顧客の口座は侵害されておらず、顧客の資金にも影響はない。影響を受けたのは「ごく限られた」数の顧客で、本人に直接連絡したという。人数は明かしていない。英国の個人情報保護当局 ICO は、報告を受け取ったことを City AM に認めている。
揃って出回る身分証と顔写真
渡った情報の中身は、9月12日の時点で各社が報じたとおりだ。CoinDesk がまとめた一覧には、氏名、生年月日、職業、住所、メールアドレス、電話番号、パスポートや運転免許証の写し、本人確認用の顔写真、IBAN、口座明細、出金の記録、そしてビットコインを含む全取引履歴が並ぶ。
重いのは組み合わせだ。オンラインで口座を開くとき、多くのサービスが求めるのは、身分証の写しと、その場で撮る顔写真になる。今回出回り始めたのは、その二つが同じ人物について揃った状態だ。
静止画の顔写真がそのまま他社の審査を通るかどうかは、サービスの仕組みによる。公開されたものの真偽もまだ分からない。それでも、身元を名乗るための材料が一か所にまとまって流通すること自体が、3日前とは違う局面になる。
取引履歴も同じ方向に働く。いつ、いくら、どこへ送ったかを知っている相手からの連絡は、本物にしか見えない。
替えられるものと、替えられないもの
利用者の側でできることは限られている。身分証は、時間と費用をかければ新しいものに替えられる。顔写真と、過去の取引の記録は替えられない。
The Crypto Times が挙げている注意は二つある。フィッシングのメッセージを警戒すること。そして、流出を「保護する」と持ちかける相手に、書類や資金を送らないこと。この種の事件のあとには、救済を装った連絡が続く。Revolut は、対象の口座に予防的な保護措置を取っているとしている。
手元で確かめられることもある。自分の名義で覚えのない口座や契約が作られていないかを、信用情報を照会できる国なら照会する。取引所やウォレットに、パスワードとは別の確認を設定しているか見直す。どれも流出を取り消すものではなく、流出したものが使われたときに早く気づくための手当てだ。
分かっていないことは多い。偽の要請に使われた政府機関の名前、対象の人数、要請が届いた期間は、どれも公表されていない。自分が対象かどうかを知る手段は、いまも Revolut からの直接の連絡しかない。
ことば
- 本人確認用の顔写真 — オンラインの口座開設で、身分証と一緒にその場で撮影を求められる本人の写真。書類の顔と操作している人が同じだと示すために使われ、今回はこの写真そのものが流出の対象になった。
- 二段階認証 — パスワードに加えて、スマートフォンのアプリや物理キーで作る別の確認を求める仕組み。身元情報を知られていても、ログインの段階で第三者を止める層として働く。
流出を知らせる連絡も、保護を申し出る連絡も、同じ受信箱に届く。身分証と顔写真を預けたサービスから連絡が来たとき、あなたはそれが本物かどうかを何で確かめるだろうか？
参照
- City AM (2026年9月14日) — 攻撃者の支払い要求と日ごとの公開予告、Revolut の説明、ICO の報告受領
- AML Intelligence (2026年9月14日) — 関与を名乗るアカウントの投稿開始と支払い要求、要求額は未公表
- The Crypto Times (2026年9月14日) — X と Telegram への投稿、公開ファイルの真偽は未確認、利用者への注意点
- CoinDesk (2026年9月12日) — 渡った情報の一覧 (身分証・顔写真・IBAN・全取引履歴ほか)
- TechCrunch (2026年9月12日) — Revolut 広報の説明、影響は限られた数の顧客で本人に直接連絡
