仏銀行Crédit Mutuel Arkéaから数千万ユーロ流出、判明したこと

銀行はネット上でも特に守りが固い場所のはずです。それなのに、ハッカーがフランスの銀行から数千万ユーロを持ち去りました。

Fortuneoを傘下に持つ銀行グループCrédit Mutuel Arkéaは、11月4日(水)に攻撃を認めました。調査が進められています。

何が起きた?

グループは「外部からの高度な攻撃」を受けたと説明しています。攻撃者は銀行自身の口座を使って他行へ送金したため、顧客の預金には手が付けられていないとのことです。

一部の送金は単に遅れただけでした。追加のセキュリティ確認を経て、水曜朝にはほぼすべての取引が再開しています。

金額はまだ非公式です。専門家は1億1800万ユーロ(1億3300万ドル)と見ています。銀行はこの数字を確認せず、「数千万ユーロ」という規模感だけを認めるとしています。一部の資金は凍結され、残りの回収に向けた取り組みが続いています。

どうやって侵入したのか?

それが最大の謎です。ネット上の初期の推測では、従業員か委託先の感染した端末が疑われました。銀行は「人為的ミス」を否定し、攻撃者はFortuneoではなく、サービス提供会社の一つのプラットフォームから入ったと説明しています。詳細は明かしていません。

盗まれた資金はその後、暗号資産取引所で換金され、次第に多くのウォレットへ分散されました。Krakenは関与が疑われるアカウントを制限したとし、Crypto.comは事件に関連する資金が自社を通過しないよう対応したと述べています。

サイバーセキュリティ専門家のガブリエル・ド・ブロス氏は「前例のない規模」の攻撃と呼び、警報が「鳴るべきだった」と指摘しました。攻撃者は銀行の手続きを非常によく知っている、というのが同氏の見方です。

これからどうなる?

銀行が被害届を出したのを受け、パリ検察庁のサイバー犯罪部門が水曜に捜査を開始しました。自動データ処理システムへの組織的攻撃が対象で、Ofac(フランスのサイバー犯罪対策局)が指揮しています。

銀行はデータ流出には触れていません。それでも顧客には、銀行を装った偽メッセージであるフィッシングに注意するよう呼びかけています。