2026 年 9 月 12 日、フィンテック企業の Revolut は、同社が高度な外部なりすまし詐欺と表現した事件を認めました。権限のない者が、正規の政府機関ドメインのメールアドレスを使い、顧客情報の不正な提供要求を送ったのです。これらの要求は、手口が発覚する前に応じられていました。

この事件が注目に値するのは、通常の意味での侵害がまったく含まれていないからです。ソフトウェアの脆弱性も、漏えいしたパスワードも、マルウェアもありません。Revolut 自身、システムと顧客の資金には影響がなかったと述べています。誰かが正しい方法で、正しいチャネルを通じてデータを求め、それを受け取ったのです。だからこそ、これは銀行だけでなく、顧客記録を保有するすべての企業にとって重要なのです。

実際に確認されていること

調査は継続中で、多くのことがまだ公表されていないため、ここでは同社が発表した内容と専門メディアが報じた内容に限定します。

  • 手口：実在する政府機関に属するドメイン内部の権限のないアカウントから送られたメールで、公式な情報提供要求としての重みを持っていました。
  • データ：生年月日、郵便住所、メールアドレス、電話番号を含む本人確認情報と連絡先情報に加え、パスポートや運転免許証などの本人確認書類のコピー、そして本人確認 (KYC) の過程で収集された顔認証用の画像です。
  • 規模：同社は限られた数の顧客としており、具体的な数字は公表していません。
  • 機関：Revolut は調査が継続中であることを理由に、ドメインが悪用された政府機関の名前を明かしませんでした。
  • 対応：アドレスはブロックされ、影響を受けた顧客には直接通知され、同社は関係する政府機関、法執行機関、金融規制当局、データ保護当局に連絡しました。

ZachXBT として知られる暗号資産セキュリティの研究者は、標的が富裕層の顧客に向けられていたようだと評価しており、無差別な収集ではなく詳細なプロファイルの構築を示唆しています。これは企業の声明ではなく研究者の評価であり、私たちもそのように引用しています。

要求が通った理由：認証は認可ではない

多くの企業のメールシステムは、メッセージが名乗っているドメインから本当に送信されたことを確認する技術的チェックに頼っています。これらのチェックは通常の偽装にはよく効きます。自分が管理していないドメインになりすます者は拒否されます。しかし、これらは一つの問いだけに答えるために作られています。このメッセージはそのドメインから出たのか、という問いです。

それは御社が答えを必要としている問いではありません。御社の問いは、このメッセージを書いた人物が、要求している内容を求める権限を持っているかどうかです。どのメールチェックもそれには答えません。二つの問いの間の距離は、認証と認可の間の距離であり、今回の作戦全体がまさにその隙間を通り抜けました。送信アカウントが本物のドメイン内部にある場合、それが乗っ取られたものであれ誤って発行されたものであれ、チームが目にする信頼の指標はすべて緑になります。

実務上の結論：メールゲートウェイの役割は、要求を損なわずに届けたところで終わります。要求を判断するのは人の仕事であり、個人の勘ではなく書面化された手順が必要です。

御社にも、よりシンプルな形で同じ要求が届く

これを遠いヨーロッパのフィンテックの話として片付けるのは簡単です。しかし、サウジアラビアの企業に毎日届く要求は、より地味な装いをした同じものです。顧客の取引明細を求めるメール、規制上の目的で従業員の情報を求めるメッセージ、契約の詳細を確認するよう求める電話、見慣れた公的な名称を持つアドレスから手続き完了のために書類を求める連絡などです。

ほとんどの中小企業では、そうした要求は次のように処理されます。従業員のもとに届き、送信者は公的に見え、公的機関を断るほうが応じるより危険に感じられ、ファイルが送られる。誰が求めたのか、何が出ていったのか、いつなのかの記録はありません。独立した確認手順もありません。後になって問題が表面化したとき、会社には経緯を再構築する材料が何もありません。

かけられている圧力にも注目してください。緊急性と公的な立場が組み合わさることで、確認が働かなくなります。政府の手続きを妨げたと責められることを恐れる従業員は確認の電話を省略するでしょう。それはこの手口の副作用ではなく、意図された効果なのです。

サウジアラビアの法律が御社に求めること

個人情報保護法 (PDPL) は、この点を曖昧にしていません。御社に二重の義務を課しています。認められた場合にのみ開示すること、そして誤った場合には報告することです。

  • 第 15 条は、個人データを開示できるケースを定めています。施行規則の定めに従い、要求者が公的機関であり、その要求が安全保障上の目的、他の法律の執行、または司法上の要件への対応のためである場合などが含まれます。
  • 第 16 条は、開示を控えなければならないケースを定めています。国家安全保障に影響を及ぼす場合、個人の安全を危険にさらす場合、進行中の捜査を妨げる場合などです。
  • 第 20 条は、漏えいまたは違法な開示について、管理者が所管当局とデータ主体に通知することを義務付けています。施行規則は、国家データガバナンスプラットフォームを通じて所管当局に通知する期限を 72 時間と定めています。

この三つを合わせて読むと、決定的な点が浮かび上がります。法律が権利を与えているのは公的機関であり、メールではありません。公的機関のドメインから届いた要求だからといって、それがその機関の要求になるわけではありません。確認する法的義務はデータ管理者である御社に残り、送信者が公的に見えたというだけでその義務が相手に移ることはありません。

Origami の見解

Origami はサウジアラビアの企業向けにシステムを構築するテクノロジー企業です。私たちが繰り返し目にするパターンは、セキュリティ投資のほぼすべてが、パスワード、二要素認証、ファイアウォールといった不正侵入の防止に費やされていることです。それらは必要ですが、守っているのは一つの扉だけです。今回の事件は、そもそも扉を通っていません。ノックしてデータを求め、それを手渡されたのです。正しく見える方法で求めてきた相手に、権限のある従業員がファイルを送ることを止められる技術的設定はありません。

そのため私たちは、データが企業の外へ出ることを、マニュアルに書かれた指針ではなく、システムに組み込まれた手順として扱います。顧客データをエクスポートする権限を誰が持つのか、すべてのエクスポートが誰が、いつ、なぜ行ったかとともに記録されるのか、第三者からの要求が承認の流れを経るのか、ということです。先月どんなデータがなぜここから出ていったのかに 一分で答えられる会社には、自らを守る材料があります。答えられない会社は、その答えが必要になった日に穴に気づくことになります。

今週導入できる一ページの手順

プロジェクトも予算も要りません。必要なのは、従業員が圧力の下で一人で判断しなくて済むよう守る、書面化され公開されたルールです。

  • 顧客や従業員のデータは、受信したメッセージだけを根拠に外部へ出さない。メッセージは要求を開始するものであって、実行するものではありません。送信者がどれほど公的に見えても、どれほど緊急の口調であってもです。
  • 独立したチャネルで確認する。メッセージに返信せず、メッセージ内に書かれた番号にも電話しないでください。機関の公式ウェブサイトに掲載された番号に電話します。この一つの手順だけで、今回の作戦全体を止められたはずです。
  • 指名された承認者を一人。外部へのデータ提供を許可された一人と、不在時の指名された代理人です。権限を全員に広げることは、誰も責任を負わないことを意味します。
  • すべての要求を書面で記録する。誰が、どの立場で、どのデータを求め、誰が承認し、どのように確認したか、そして日付です。スプレッドシートの一行で十分であり、その価値は今日ではなく 一年後に表れます。
  • 最小限だけを送る。要求が正当なものであれば、求められたものだけを送り、ファイル全体や表全体は送らないでください。送った量が、要求が不正だと判明した場合の被害の大きさになります。
  • 必要になる前に報告の流れを把握しておく。誰が 72 時間以内に、どのプラットフォームを通じて、どのような内容でサウジアラビアデータ・人工知能庁 (SDAIA) に通知するのか。手順を探すのに費やした時間は、そのまま期限から差し引かれます。

そのすべての根底にある原則は、確認は妨害ではないということです。本物の公的機関は、自らが公表している番号への確認の電話に異議を唱えません。そして確認されることに異議を唱える者こそ、確認すべき相手です。これをチームのために書面にしておけば、要求を断ることが、一人の従業員が単独で背負う個人的なリスクになることはありません。

出典