ハッカーは正規の金融プラットフォームを利用し、チェック料金を支払うことなく盗んだ銀行ログイン情報を検証していた。
Group-IBは10月20日付の報告書で、犯罪者が名称不明の支出管理サービスを悪用し、盗んだ認証情報を確認するとともに、フィッシングメッセージを配信していたと説明した。
セキュリティチームにとって、この事例は監視の盲点を浮き彫りにする。取引制御が資金移動を検知する前に、アカウント連携や顧客通知が不正行為を支える可能性がある。
アカウント連携によって銀行残高と取引履歴が露呈
顧客はオープンバンキングのアグリゲーターを介して外部の銀行口座を連携できた。連携に成功すると口座残高と取引履歴が返されるため、犯罪者は盗んだログイン情報のうちどれが有効かを確認し、資金の入った口座を特定できた。
金融機関コードと口座番号を使った手動連携では、同じ情報は得られなかった。攻撃者は代わりに、ログインベースの連携を悪用して認証情報を検証し、支払いを開始することはなかった。
Group-IBの推計では、オープンバンキングの認証には通常、請求形態に応じて、連携に成功するたびにプラットフォーム側へおよそ0.30～1ドルの費用が発生する。これは業界の推計であり、影響を受けたサービスに実際に請求された金額が確認されたわけではない。犯罪者は検証手数料を自ら支払うことなく、結果を入手していた。
偽のマーケットプレイス通知で攻撃者は銀行情報を収集
2026年4月下旬、このプラットフォームは、決済通知システムとメールシステムが悪用され、毎日数千人の受信者にフィッシングリンクが配信されていると報告した。詐欺師は使い捨てメールアドレスでアカウントを登録し、Poshmarkになりすましたメッセージを作成して、販売成立には本人確認が必要だと受信者に伝えていた。
短縮リンクは、カウントダウンタイマーを表示する偽のマーケットプレイスページへ受信者を誘導した。不正なフォームは個人情報やカード情報を収集し、銀行の認証情報やワンタイムパスコードを要求することもあった。
捜査担当者は、4月27日と28日に記録された共通のデバイスフィンガープリントから、フィッシング活動と認証情報を検証するアカウントとのつながりを突き止めた。両方の活動は同時に実行されており、新たに取得した認証コードをすぐに利用できる状態だった。研究者は Classiscamという、サービスとして提供される詐欺活動との類似点を見いだした。
その後Group-IBは、不審なアカウントをブロックするまでの時間を数時間から1分未満に短縮した。2026年5月には、230を超える不正アカウントが停止された。報告書はプラットフォーム名を明らかにしておらず、総損失額も定量化していない。Group-IBはこの活動について、Classiscamとの整合性はあるものの、同活動によるものだと断定するには至らないと評価した。
金融プラットフォームは資金が動く前に活動を調査すべき
金融連携を運用する組織では、不正検知は支払いに先行する活動まで対象にする必要がある。管理するサービスによっては、攻撃者が認証済みの認証情報を別の場所で使う前に、不正利用を特定するのに役立つチェックがいくつかある。
- フィンテックおよびプラットフォームの管理者。新規登録アカウントからの銀行連携の繰り返し試行を確認し、 ボット対策とデバイスインテリジェンスを使って不審な登録を相関分析する。アグリゲーターからの請求と正規顧客の連携を比較し、説明のつかない検証費用を特定する。
- 不正対策およびメッセージング担当チーム。見慣れない受信者に送信された決済通知が急増していないか、特に新規アカウントからのものを調べる。埋め込まれたリンクを確認し、 正規サービスを介したフィッシングを防ぐ制御を適用して、金融関連の通知から不正な指示が配信されないようにする。
- 銀行のセキュリティチーム。 クレデンシャルスタッフィング攻撃または盗まれたログイン情報が疑われる場合は、通常と異なる第三者アカウントの連携を調査する。最近の認可を確認し、対応していれば見慣れない連携を取り消したうえで、影響を受けた顧客と連携して認証情報をリセットする。
財務チームも、セキュリティ上の調査結果と併せて検証費用を確認すべきだ。通常とは異なる請求額の増加から、取引監視では見逃される不正利用が明らかになる可能性がある。こうしたパターンを早期に発見すれば、犯罪者が情報をさらなる不正行為に使う前に、認証情報の検証を中断できる。
サイバーセキュリティ関連のニュース：侵害されたETSのログインが機密記録を露呈しカリフォルニア州の現・元学生数百万人に関係していた。