資金は銀行自身の口座から流出した。侵入経路はサプライヤーを経由していた。
フランスの銀行グループCrédit Mutuel Arkéaは11月4日、攻撃者がサービスプロバイダーのプラットフォームを使って同行に侵入し、不正送金を実行したと明らかにした。同行によると、顧客資産への影響はなかったが、このインシデントにより、決済システムへのサプライヤーアクセスが厳しく問われることになった。
セキュリティー担当者と不正対策チームにとって実務上の問題は、信頼された外部接続がどこまで到達できるのか、そして資金移動を阻止できる統制はどれかという点だ。
Arkéaが確認したこと
追跡開示で、Arkéaは、攻撃者が同行自身の口座から他の金融機関へ資金を移したと説明した。これらの送金によって、専門プラットフォームを通じた暗号資産への交換が可能になった可能性がある。
同行は、攻撃者が傘下のFortuneoを経由して侵入したとの見方を否定した。サプライヤーの名前や、最初の侵害方法は明らかにしていない。
Arkéaは、1億1800万ユーロ、約1億3300万米ドルと報じられた盗難額について確認を避けた一方、金額の桁は正確だと認めた。一部の資金は阻止され、回収作業が続いており、最終的な財務上の影響はなお調査中だ。
初回声明では、さらなる不正な資金移動を防ぐため、一部の取引を一時停止したと説明した。顧客による一部の送金には遅延が生じた。追跡声明でArkéaは、追加の確認とセキュリティー対策の強化を経て、11月4日朝の時点でほぼすべての業務を再開したと述べた。
同行はまた、後続的なフィッシングの可能性について顧客に警告した。銀行の認証情報やSMS認証コードを共有しないこと、不審なメッセージについては担当者に直接連絡して確認することを勧めている。
サプライヤーのアクセスは、サプライヤーを越えた影響を及ぼし得る
Secure.comのエンジニアリング責任者Waseem Ahmed氏は、顧客口座と銀行自身の口座の違いには注意が必要だと指摘した。
「通常、不正検知の統制は顧客口座に対して最も厳しく設定される。一方、銀行自身の口座では毎日多額の資金が動くため、別の金融機関への大口送金が1件増えても、発見が難しくなる可能性がある」とAhmed氏は述べた。「Arkéaの統制がどのように設定されているかは知らないので、これは一般的な見解だ」
同氏がより広く懸念しているのは、外部プラットフォームが金融システムに接続された後に行使できる権限だ。
「その意図があったかどうかにかかわらず、プラットフォームから自社システムへの経路を持つサプライヤーは、決済チェーンの一部だ。そして、チェーンの他の部分と同じ統制が必要になる」と同氏は述べた。
第三者のアクセスは、まったく異なる事業機能に影響を及ぼす可能性がある。別のインシデントでは、攻撃者がサプライヤーの侵害を通じて フランスの血液銀行施設の冷却設定を変更したと報じられたが、監視によって保管製品への被害は防がれた。
別の事例では、 汚染されたcPGuardのセキュリティーアップデートによって、約3,000台のサーバーが侵害された。これらの事例はサプライヤーリスクの異なる形態を示しているが、いずれもArkéaへの攻撃方法を裏付けるものではない。
欠けている詳細が重要になる
Ridge Securityのシニアディレクター兼オフェンシブセキュリティー・エバンジェリスト、Darin Fredde氏は、不完全な開示情報から攻撃を再構成することに注意を促した。
「Crédit Mutuel Arkéaが何を開示したかは分かっているが、攻撃の全体的な流れは分かっていない」とFredde氏は述べた。「どの統制が機能しなかったのか、攻撃者がどのように行動したのかを推測するのは興味深い記事になるかもしれないが、それで必ずしも誰かの安全性が高まるわけではない」
Arkéaによると、同行のシステムは不審な活動を速やかに検知し、同行内の人的ミスが原因だったとの見方を退けた。この説明からは、サプライヤーが認証情報の窃取やソフトウェアの脆弱性の悪用、その他の方法による侵害を受けたのかどうかは分からない。
Fredde氏によると、攻撃者は技術的な悪用、ソーシャルエンジニアリング、信頼関係の悪用を組み合わせて、事業上の目的に到達することがある。したがってセキュリティーテストでは、こうした弱点を組み合わせた場合に何が可能になるのかを検証する必要がある。
「脆弱性スキャナーを使えば、システムに既知の弱点があるかどうかは分かるかもしれない。しかし、本来は可能でないはずのことを実現するために、正当な業務プロセスを誰かが操作できるかどうかまで、必ずしも分かるわけではない」と同氏は述べた。
銀行が決済チェーン全体でテストすべきこと
Ahmed氏は、まず1つの具体的なシナリオから始めることを勧めている。サプライヤーのアクセス経由で侵入した人物が、銀行がこれまで一度も送金したことのない受取人に支払いを送れるかどうか、というシナリオだ。
これにより、セキュリティー、財務、不正対策の各チームが共通のテスト目標を持てる。演習では、どのIDが受取人を登録できるのか、どのIDが支払いを承認できるのか、そして外部接続が侵害された場合でも承認の独立性が保たれるのかを明らかにする必要がある。
Fredde氏は、最小権限、職務分掌、独立した承認、取引監視を一体としてテストすることを勧めている。 ペネトレーションテストプログラムでは、技術的な弱点とともに、こうした業務上の結果をスコープに組み込むことができる。
両氏の提言に基づき、銀行は4つの確認項目を軸にレビューを進められる。
- サプライヤーの権限を追跡する。各プロバイダーを決済機能に接続するアカウント、連携、権限を特定する。サポートやデータ交換を目的としたアクセスによって、取引の開始や変更も可能になるかどうかを確認する。
- 独立した承認をテストする。管理された演習で、侵害されたサプライヤーのIDが、機密性の高い変更を申請すると同時に、その実行に必要な承認まで満たすことができないかを検証する。
- 累積流出額を測定する。Ahmed氏は、送金可能なすべてのシステムを対象に、銀行自身の口座からの支払いに上限を設け、複数日にわたって適用することを勧めている。しきい値を超えた場合、新規または通常と異なる支払いは承認を待つべきだ。
- 介入を検証する。誰がアラートを受け取り、誰が支払いを保留し、誰がサプライヤーのアクセスを無効化できるのかを明確にする。シミュレーション上の支払いが完了する前に、これらの措置が実行されるかどうかを記録する。
これらは他の金融機関を対象とした提案上の確認項目であり、Arkéaにこうした統制がなかったという指摘ではない。しきい値と承認ルールは、各銀行の決済量と業務要件を反映すべきだ。
有用な結果とは、テストしたサプライヤー接続によって不正な支払いが可能になるか、監視がその試みを検知するか、そして資金が流出する前に職員が介入できるかを示す証拠だ。ベンダー評価や、脆弱性スキャンで問題が見つからなかったという事実だけでは、その結果を証明できない。
最新情報をチェック： Tech Insider Europeを購読すれば、欧州のテクノロジー、AI、セキュリティーの動向を無料でお届けします。