レボリュート（Revolut）から流出した顧客データを巡り、「iamnotavillain」を名乗るハッカー集団が16日、身代金として6,000モネロ（XMR、約300万ドル相当）を要求するカウントダウン画面を公開した。支払い期限は24時間で、応じなければ他の犯罪グループへデータを売却すると脅している。英フィナンシャル・タイムズ（FT）が17日に報じた。
流出の対象は少なくとも680件の顧客アカウントで、パスポートなどの本人確認書類やKYC用の顔写真、仮想通貨の入出金履歴を含む取引記録が含まれるという。攻撃者はFTの取材に対し、ブロックチェーン分析で多額の仮想通貨を保有する利用者を選び、標的にしたと説明した。
攻撃者はイタリアの法執行機関を数か月にわたり装い、政府が運用する認証メールシステム「PEC」を悪用して特定利用者のファイル提出をレボリュートに要求し続けたという。システムへの不正侵入ではなく、正規の照会窓口を通じて情報を引き出す手口だった。
レボリュートはこうした照会に応じ、9月12日に情報流出を公表した。被害規模について同社は詳細を明らかにせず、「限定的」とのみ説明している。680件という数字はFTの取材源によるもので、レボリュートの正式発表ではない。