Revolutが顧客データ漏えいを公表——偽政府機関からの詐欺リクエストでパスポート・取引履歴が流出

「Revolutで情報が漏れたって聞いたけど、自分は大丈夫なのか…」
「そもそも、どうやって会社から情報を盗むの？ハッキングじゃなかったの？」

チップス

ボスー！Revolutで情報漏えいが起きたってニュースで見たでしゅ！なんか怖いでしゅ…

ボス

ああ、あの件か。ハッキングではなく「政府になりすまして情報を騙し取った」という、なかなか厄介な手口だ。企業側のシステムが破られたわけじゃない点が、普段とは少し違う。

今回のRevolut事件は、外部から金庫を破るのではなく「鍵を自分で開けさせる」型の攻撃でした。
企業や個人が今後取るべき防御策を、この事件から整理します。

この事件を知ることで、なぜ「うちは大手だから安全」という思い込みが危険なのかが分かります。

偽の「政府リクエスト」でデータが流出——事件の全貌

2026年9月12日、欧州発のフィンテック大手・Revolutが顧客データ漏えいを公式に認めました。
被害を受けたのは「ごく限られた数の顧客」とされており、具体的な人数は非公開のままです。

今回の事件でとりわけ注目されるのは、攻撃者がシステムの脆弱性を突いたのではなく、Revolut社員の「判断」を利用した点です。
2024年にはFBIが同種の緊急データ開示要求詐欺の急増を警告しており、金融・テック大手でもこのリスクを完全には排除できていません。

攻撃者が使った手口

攻撃者は正規の政府機関のメールドメインを悪用し、「法執行機関からの正式な情報開示要求」に見せかけた偽リクエストをRevolut側に送付しました。
Revolutのコンプライアンス担当チームがそれを正当な要求と判断し、顧客データを共有したことで漏えいが発生しました。

この手口はEDR詐欺（緊急データ開示要求詐欺）と呼ばれるソーシャルエンジニアリングの一種です。
ポイントは以下の通りです。

流出したデータの種類

漏えいが確認されたデータは、悪用価値の高いものが揃っています。

Revolutはシステムと顧客資金への影響はないと発表していますが、流出したデータは「フルパッケージ」として別の詐欺や口座開設、なりすまし犯罪に転用されるリスクがあります。
事件発覚後、Telegramチャンネルで顧客の身分証コピーが出回り始めたとも報告されています。

チップス

パスポートコピーまで！？それって身分証を使った別の詐欺にも使えるんじゃないでしゅか…

ボス

その通りだ。こうした書類セットは「フルパッケージ」と呼ばれ、ダークウェブで高値で売買される。口座開設、ローン申請、別の詐欺の踏み台、悪用の範囲は広い。

なぜ正規の手続きに見えたのか——企業が今取るべき対策

今回の攻撃が難しかったのは、詐欺メールが「正規の政府ドメイン」から届いていた点です。
一般的なメール認証（SPF・DKIM・DMARC）は送信元ドメインの利用権限や整合性を検証する仕組みですが、「そのドメインのメールアカウント自体を乗っ取られた場合」には無力です。
ドメインの正規利用者から送信されているため、認証はすべて通ります。

チップス

うちも役所からメール来たら確認しちゃいそうでしゅ…。「緊急」って書いてあったら余計に急いじゃうんでしゅけど…

ボス

「緊急だから急げ」は攻撃者が最も使いたい言葉だ。正規の法執行機関が本当に急ぐときは、裏付け確認の時間を惜しまない。焦りを感じさせる要求ほど、立ち止まって確認するのが鉄則だ。

企業が今すぐ見直すべき3つの防御策

このタイプの攻撃を防ぐために、次の対策が有効です。

まとめ：「人の判断」を狙う攻撃への備えが急務

Revolutの事件は、どれだけシステムが堅固でも「人が正規と判断して開けてしまう」攻撃は防げないという現実を示しています。
パスポートコピーや取引履歴は、一度流出したら取り戻せません。
自社の法的リクエスト対応フローを今一度見直し、「正規に見える要求」への二重確認を仕組みとして組み込むことが急務です。