Revolutデータ侵害：研究者たちはいかにして恐喝サイトを追跡したか

Revolutデータ侵害の恐喝サイト、研究者によって正体を暴かれる

Revolutデータ侵害の余波は、脅威インテリジェンス企業KELAが、フィンテック企業に攻撃者への支払いを迫るために使われた恐喝サイトを追跡した調査結果を公開したことで新たな展開を迎えた。KELAの発見によると、このサイトは無料の公開インフラ上でホストされ、わずか6.5時間で組み立てられていた。さらに注目すべきは、攻撃者が削除したと思っていたファイルが、サイトの公開コミット履歴を通じて依然として復元可能だったという点だ。この詳細により、防御側と研究者は、現代の恐喝キャンペーンの仕組みを内側から垣間見る稀な機会を得ることになった。

この発見が重要なのは、Revolut事件の背後にいる犯罪者たちが、洗練された堅牢な作戦を構築していなかったことを示しているからだ。代わりに彼らは迅速で無料のツールに頼り、その結果、研究者が追跡できる痕跡を残してしまった。攻撃者がそもそもどのようにして顧客データを入手したかについてすでに厳しい目が向けられている侵害において、この第二の章は、恐喝インフラがいかに行き当たりばったりで露出しやすいものであり得るかを示す窓を提供している。

恐喝サイトはいかにして構築され、追跡されたか

KELAの分析によると、恐喝ページはカスタムサーバーや特殊なダークウェブインフラ上に置かれていなかった。それは、誰でも数分で登録できるような、無料で公開アクセス可能なホスティングサービス上で動いていた。開始から終了までわずか6.5時間という展開の速さは、攻撃者が痕跡を注意深く隠すことよりも、Revolutに迅速に圧力をかけることを優先したことを示唆している。

その性急さが隙を生んだ。サイトが公開コミット履歴（サイトの基盤となるコードやコンテンツに行われた変更の記録）に依存していたため、研究者は攻撃者が削除しようとしたページのバージョンを遡って調べることができた。ライブサイトから削除されたファイルは実際には消えておらず、履歴ログに依然として表示されていた。これによりKELAは、恐喝ページがどのように進化したか、そして攻撃者が当初どのようなコンテンツを含めた後に消去したかについての洞察を得ることができた。

この種の運用セキュリティの失敗は、サイバー犯罪において珍しいことではない。インフラを迅速かつ安価に構築することは、侵害がまだ新しいニュースであるうちに攻撃を仕掛けようとする恐喝グループにとってしばしば優先事項だが、その速さはしばしばデジタルの指紋を残すという代償を伴う。

恐喝サイトと元の侵害との関連

恐喝サイトは突然現れたわけではない。それは、Revolutが偽の政府からの要請に騙された後、機密の顧客データが露出したことを開示したことに続いて現れた。その結果、パスポートや個人情報が未承認の第三者に渡ることになった。その以前の事件が恐喝の試みの舞台を整えた。攻撃者が顧客データを手にすると、彼らはRevolutからの支払いを強要することを目的とした圧力サイトの構築に移ったのである。

この流れ、つまりソーシャルエンジニアリングの手口に続くデータ露出、そして恐喝は、金銭目的のサイバー犯罪における一般的なパターンを反映している。攻撃者が成功するために高度なツールを必要とすることはほとんどない。説得力のある偽の要請が機密データを引き出すのに十分であり、無料ホスティングでの数時間がその後に公開圧力キャンペーンを開始するのに十分だった。

これがあなたにとって何を意味するか

あなたがRevolutの顧客である場合、この特定の恐喝サイトによる実際のリスクは、ホスティングの詳細よりも、そこにどのようなデータが含まれていたかに関するものである。このような侵害に関連する恐喝ページは、しばしば盗まれた情報（パスポート番号や口座詳細を含む）を交渉材料として参照またはプレビューする。研究者がサイトの履歴から削除されたファイルを復元できたという事実は、攻撃者が隠そうとしたコンテンツ（漏洩データのサンプルを含む可能性がある）が、依然としてセキュリティ研究者によって文書化され分析されている可能性があることも意味する。

一般ユーザーにとって、これはRevolutデータ侵害に関するより広い教訓を強化するものである。最初の侵害は、Revolutのシステムへの技術的ハッキングを通じてではなく、欺瞞を通じて発生した。つまり、アカウントの監視、この侵害に言及するフィッシングの試みへの警戒、個人情報に対する一方的な要求への慎重さに関するいつものアドバイスが、今まさに特に関連している。当局を一度うまく装うことができた攻撃者は、Revolutまたはその顧客に対して直接、同様の戦術を再び試みるかもしれない。

実行可能なポイント

Revolutを利用している、またはこの侵害の影響を受けている場合は、以下のステップを検討してほしい。

• 今後数週間、Revolutアカウントおよびリンクされた銀行口座に不審な活動がないか注意深く監視する。
• Revolut、政府機関、または法執行機関を名乗り、この事件に言及するあらゆる連絡、特に緊急性を煽るメッセージに対して懐疑的になる。
• パスポートや身分証明書が以前の開示で露出したデータに含まれていた場合は、身元詐窃の監視を検討し、絶対に必要な場合を除いてID書類のコピーを共有することに慎重になる。
• 恐喝サイトに関連して流布されるリンクやファイルに頼るのではなく、Revolutからの更新情報を直接フォローする。研究者はこれらのサイトのコンテンツが操作され、削除後も再出現する可能性があることを示しているからだ。

Revolutデータ侵害とその恐喝の余波は、機能的な犯罪活動を行う攻撃者でさえ、研究者が悪用できる基本的な過ちを犯す可能性があることを示している。顧客にとって、この事件の全体像が明らかになり続ける中で、警戒と慎重さを保つことが依然として最善の防御である。