10月29日、世界最大の暗号資産取引所Binanceからハッカーが63億ドルを引き出した事件は、当初、暗号資産だけの問題と捉えられやすかった。しかし1週間も経たないうちに、その見方は崩れた。フランスの銀行Crédit Mutuel Arkéaが、自行のシステムから約1億ユーロ(1億1200万ドル)が攻撃者によって持ち去られたと発表したのである。

相次いだこの侵害は、サイバー強盗がデジタル資産プラットフォームだけでなく伝統的な銀行をも脅かしていることを浮き彫りにしている。いずれのケースでも、攻撃者の侵入経路は中核システムへの直接的な侵害ではなく、人間や第三者への信頼だった。

「銀行が直面する脅威は圧倒的だ」

業界関係者は、この一件が暗号資産だけでなく従来型金融についても語るところが大きいと指摘する。「Binanceのような企業が数十億ドルを失うことができるなら、銀行が直面する脅威は圧倒的だ」と、銀行向けブロックチェーンインフラを開発するGlobal Settlementの共同創設者兼CEO、ライアン・カークリー氏は述べた。11月10日にロンドンで開かれたDigital Asset Summitでの講演で、同氏は「平均的な銀行がセキュリティを維持し続けることは不可能だ」と付け加えた。

Binanceの創設者で前CEOのチャンポン・チャオ(Changpeng Zhao)氏はさらに踏み込んだ。「暗号資産取引所がハッキングされ得るなら、銀行はもっと厳しい状況にあると私思う」と、強盗事件の数日後にCoinDeskに語っている。

Binance侵害はどう起きたか

Binance窃盗事件の背後にある攻撃者は、ソーシャルエンジニアリングと悪意あるソフトウェアを組み合わせ、暗号資産ウォレットを乗っ取って資金を引き出した。仕組まれた採用キャンペーンの一環として、攻撃者は一連の偽の求人面接を手配し、Binanceのエンジニアに気づかずマルウェアをダウンロードするよう誘導することで、社内システムへの侵入経路を確保した。

その後、被害は部分的に封じ込められた。FBIは盗まれた暗号資産のうち12億ドルを押収し、Binanceは影響を受けた総額の約98%を「補填」したと確認している。それでも、この押収額は当初の被害額の5分の1にも満たず、盗まれた資産の大部分は依然として回復していない。

「規制されているから自動的に安全ではない」

スイス・ザンクトガレン大学のサイバーセキュリティ教授、カテリーナ・ミトロコッツァ氏によれば、Binanceで突かれた弱点は暗号資産特有のものではなく、同じ脆弱性が伝統的金融機関の内部にも存在するという。「銀行は規制されているからといって、自動的に安全になるわけではない」と同氏は述べた。

大西洋の両側の規制当局が注意を払ってきた。米国では、ロイターの報道によれば、連邦準備制度理事会(FRB)と通貨監督庁(OCC)が11月2日から銀行に電話をかけ、異常な活動やサービス障害について問い合わせを始めた。7月には欧州中央銀行が110行のCEOに書簡を送り、ITシステムの脆弱性を「より速く、より安く特定し悪用することを可能にしつつある」フロンティアAIモデルのリスクを警告した。

銀行が優位性を持つ点

暗号資産プラットフォームに比べ、伝統的な銀行にもいくつかの優位点があると、フランス通信グループOrangeのサイバーセキュリティ部門Orange Cyberdefenseの最高技術責任者、ビビアン・ムラ氏は述べる。2025年1月から施行されているEUのデジタル業務レジリエンス法(DORA)は、銀行に防御のテストとサイバーインシデントの報告を義務付けている。「また、暗号資産プラットフォームにはない仕組み、例えば支払いをブロックまたは取り消す機能や、監督当局・法執行機関との緊密な連携の恩恵も受けている」とムラ氏は述べた。

ただし同氏は、こうした優位性にも限界があることを認めている。「銀行は大規模攻撃を吸収し回復する能力では優れているが、攻撃の防止に優れているとは限らない」。

サプライヤーとレガシーシステム

ミトロコッツァ氏は2つの恒久的な弱点を指摘する。銀行が依存する外部サプライヤーの長いチェーン(最も重要なプロバイダーをEUの直接監督下に置くことでDORAが対応を図っているリスク)と、多くの銀行が依然として稼働させている老朽化した技術である。

両方の要因がCrédit Mutuel Arkéaの事案で重なった。同行では、ハッカーが名前の明かされていないサービスプロバイダーを通じてアクセスを得て、銀行自身の口座を使って取引を実行した。同行は顧客に対し、このインシデントが資産に「影響を与えていない」と伝えた。

「侵害されたサプライヤー、特権的アクセスを持つ職員、偽の求人アプローチ、内部ツールの悪用は、何年も前から認識されているリスクであり、特定のセクターに固有のものではない」と、英国の銀行業界団体UK Financeのレジリエンス・サイバー担当ディレクター、リー・エリオット氏はFortuneに語った。同氏はさらに、銀行はFinancial Sector Cyber Collaboration Centreなどの取り組みを通じて脅威情報を共有する業界の実践からも恩恵を受けていると付け加えた。

冷蔵庫が侵入経路になるとき

攻撃者はすでに、銀行業以外の欧州の老朽化したIT資産にも手を伸ばしている。10月以降、ハッカーは十数か国のスーパーマーケットとフランスの3つの血液銀行で、インターネットに接続された冷蔵システムを乗っ取った。電子式温度コントローラーを製造したDanfossは、影響を受けた機器の大半がセキュリティアップデートの対象外となっている旧モデルだったと述べている。

「冷蔵庫はセキュリティリスクには見えない。それこそが攻撃者が好む理由だ」とミトロコッツァ氏は述べる。「銀行も同じ問題を抱えている。多くの銀行は、古いサーバーやビル管理システム、サプライヤーのリモートアクセスと隣り合わせで、数十年前から稼働している中核システムをまだ動かしている」。

同氏の助言は、銀行がまずネットワークに接続されているすべてのデバイスを把握し、その上で中核システムにアクセスする必要のないものを切り離すことから始めることだ。

銀行は暗号資産から学ぶこともできるとミトロコッツァ氏は付け加えた。「一部の取引所は鍵の管理を複数の当事者に分割しており、単一のコンピュータだけで送金を承認できないようになっている。一度に2つの鍵を回す必要がある金庫室のような仕組みだ。1台のノートPCを侵害した攻撃者に必要なものが部分的にしか渡らない」。

AIエージェントが新たなリスク層を追加

パーソナルAIエージェントも、金融機関が取り組むべき新たな課題となっている。消費者はますます、MetaのMuseのようなデジタルアシスタントを使って、代理で買い物や請求書の支払いを行っている。

一部の銀行はこれを締め出す動きに出ている。CitigroupとBank of AmericaはAIエージェントによる顧客口座へのアクセスを制限しており、JPMorgan Chaseの最高経営責任者(CEO)ジェイミー・ダイモン氏は、自律型AIエージェントに銀行決済を扱わせないよう金融機関に呼びかけ、その「危険な」リスクを警告した。英国では、HSBC、Nationwide、NatWest、Barclays、LloydsもAIエージェントによる口座アクセスをブロックしている。

一方、より慎重な中間路線を取る欧州の銀行もある。SantanderとINGはエージェントによる支払いを認めているが、顧客が事前に設定した限度額の範囲内に限るか、購入ごとに顧客の承認を要する方式である。

サイバー脅威が増え続けるなか、Binanceから盗まれた63億ドルの大部分が依然として未回収であることを考えると、Crédit Mutuel Arkéaのハッキングは欧州金融セクターへの攻撃の終わりではないだろう。

この記事は、fortune.comで最初に公開されたものです。