9月11日、Revolut の一部の利用者に、自分の口座に関する緊急のセキュリティ更新という件名のメールが届いた。政府機関のドメインから送られてきた情報開示の要請に応じたところ、それが偽物だったという通知だ。渡ったものには、パスポートの写しと、本人確認のときに撮影した自分の顔写真と、ビットコインを含む全取引履歴が入っている。
破られたのは鍵ではない。手続きだ。本人確認は、自分が自分であることを示すために自分から預けたもので、預けた先が正規に見える要請に応じて外へ出す局面には、こちらが立ち会う場面が最初から無かった。
何が渡って何が渡らなかったのか、なぜ認証が通ってしまったのか、そして預けた側に何ができるのかを順に見ていく。
渡ったものと、渡らなかったもの
利用者に届いた通知が挙げているのは四つの区分だ。氏名・生年月日・職業といった身元。住所・メールアドレス・電話番号といった連絡先。パスポートや運転免許証の写しと、本人確認の際に撮影した顔写真。そして IBAN(欧州で使われる銀行口座の識別番号)、口座の状態、開設日、ウォレットの参照番号、出金の記録、ビットコインを含む全取引履歴を載せた取引明細。
渡らなかったものも書かれている。秘密鍵、ログインのパスワード、カードの暗証番号、口座残高は含まれない。顔写真は撮影した画像そのもので、そこから作られた生体認証用のデータではない。
対象が何人かは公表されていない。オンチェーン調査で知られる ZachXBT は、規模は限定的とみられること、状況からは資産の多い利用者が狙われたように見えることを述べている。資金が盗まれたという報告は出ていない。
語を正確にしておきたい。これは外部から侵入されて持ち出された事故ではなく、事業者が要請に応じて自ら渡した事故だ。防御の強さの話ではなく、誰の求めなら渡すのかという判断の話になる。
認証は、通っていた
要請は、政府機関のドメインの内側で動いているメールボックスから送られてきた。送信元の詐称を防ぐための三つの仕組み、SPF・DKIM・DMARC のすべてを通過している。
この三つが確かめるのは、メールが名乗ったドメインから正しく送られたものかどうかだ。確かめないのは、そのドメインの内側にいる送り手が正当な権限を持っているかどうかになる。内側にメールボックスを一つ作られてしまえば、認証は偽装を止める壁ではなく、本物らしさの裏書きとして働く。
Revolut の説明は、有効なドメイン認証を伴っていたため本物の政府機関からの要請だと信じるに足ると判断して応じた、というものだ。偽物だと分かったのは、後から同じ機関へ直接問い合わせたときで、機関の側もそこで自分のドメイン上にある不正なアカウントの存在を知ったとされる。
どの機関だったのかは公表されていない。Revolut は規制当局に届け出たうえで、対象の利用者に予防的な保護措置を取ったとしている。
預けた身元は、自分では引き上げられない
ここが、使う側にとっていちばん動かしにくいところだ。
本人確認で渡した書類は、事業者が保存を義務づけられている記録でもある。英国のマネーロンダリング規制は、取引関係が終わったと事業者が判断した時点から五年間、確認に使った書類の写しと、取引を再現できるだけの記録を保存するよう求めている。口座を閉じても、書類はしばらく事業者の側に残る。消してほしいと頼めば消える種類の情報ではない。
だから、解約すれば安全になるという道はすぐには開かない。今日できることは、もっと地味なものになる。
一つは、通知そのものを疑うこと。この種の事故のあとには、事故を知らせる連絡を装った偽のメールが続く。届いた文面のリンクからではなく、自分でアプリを開いて確かめる。
もう一つは、渡った情報の組み合わせが何に使えるかを知っておくこと。氏名・住所・生年月日・職業・取引の履歴が揃っていると、相手は自分に宛てて仕立てた話ができる。銀行を名乗る電話が過去の送金額を正確に言い当てたとしても、それは相手が本物である証拠にはならない。この事故のあとでは、むしろ逆の合図として読める。
暗号資産まわりには、もう一段戻せないものがある。ウォレットの参照番号と身元が結びついた状態が外へ出た。鍵が無事でも、どのアドレスを誰が使っているかという紐付けは、渡ってしまえば取り消せない。
分かっていないことも残っている。どの機関だったのか、何人分だったのか、いずれも公表されていない。自分が対象かどうかを知る手段は、通知が届いたかどうかしかない。
ことば
- 本人確認(KYC) — 金融サービスが口座開設時に利用者の身元を確かめる手続き。書類の写しと顔写真を事業者に預けることで成立し、預けた記録は法令上の保存対象にもなるため、利用者の意思だけでは取り下げられない。
- ドメイン認証(SPF・DKIM・DMARC) — メールが名乗ったドメインから正しく送られたかを検証する三つの仕組み。送信元の偽装を防ぐ設計なので、ドメインの内側から送られたものは正規と判定される。
- ウォレット参照番号 — 事業者の側で利用者の暗号資産の入出金を紐づけるための識別子。これと身元情報が同時に外へ出ると、それまで名前と結びついていなかった取引履歴が特定の個人に接続する。
自分の身元を預けた先は、いくつあるだろうか。パスポートの写しと自分の顔写真を渡したサービスを、今すぐ全部言えるだろうか？
