フランスの銀行グループCredit Mutuel Arkeaは11月4日（現地時間）、サイバー攻撃を受け、不正な送金が行われたと発表した。同日公開した追加発表によると、攻撃者は外部委託先のプラットフォームを経由して同行のシステムに侵入したという。
事案の詳細
Credit Mutuel Arkeaはフランス西部を拠点とする協同組織型の金融グループで、オンライン銀行Fortuneoなど約40の子会社を傘下に持つ。顧客および組合員数は約580万人、総資産は2115億ユーロに上る。
同行によると、攻撃者は銀行自身の口座を悪用し、他の金融機関に資金を不正送金した。送金された資金はその後、暗号資産取引プラットフォームを通じて暗号資産に交換された可能性がある。顧客の口座が直接悪用されたわけではないとしている。
被害額は調査中だが、AFPは約1億ユーロ（約178億円）規模と報じている。同行は具体的な金額を確定していないものの、被害額の規模はおおむね認めている。一部の資金は既に凍結できており、残りの回収も進めているという。
影響と背景
攻撃を検知した同行は、被害拡大を防ぐため一部の取引を一時停止したが、11月4日午前中にはほぼすべての取引が再開された。一部の送金には遅延が生じた。なお、子会社Fortuneoを侵入口としたという一部報道は否定している。攻撃者の正体や具体的な侵入手法については明らかにしていない。
対策・今後の展望
今回の事案では、外部委託先のプラットフォームが侵入経路となった点と、銀行自身の口座を用いた不正送金が行われた点が焦点となる。Credit Mutuel Arkeaは被害拡大防止のため取引の一時停止を実施し、その後の取引再開に至ったとしており、資金については凍結や回収を進めている。今後は、侵入経路となった外部委託先を含む運用体制の点検と、送金フローにおける不正検知や抑止の強化が重要になる。
CSRIからのアドバイス
外部委託先や関連会社の仕組みを経由した侵入は、業務の効率化で接続点が増えるほど起きやすいとされる。自社の防御だけでなく、委託先の環境や接続範囲、権限の与え方が被害の広がりを左右する点が押さえどころになる。
例えるなら、銀行の建物自体は厳重でも、出入り業者が使う通用口が狙われたようなものだ。つまり「直接お客さま口座が狙われなくても」、組織が持つ口座や手続きの権限が悪用されると資金が動いてしまう危険がある。
まず、社内外の委託先が自社システムに接続する経路と、そこで扱える操作権限を一覧にして確認する。次に、不正送金などの異常時に誰が取引停止を判断し、誰に連絡するかを担当者に伝えて手順を整える。最後に、取引の遅延や停止が起きた場合の顧客対応文面を用意しておく。