銀行のアクセス認証情報を売却しようとしたとされる内部関係者の動きが、金融業界で最も対処が難しいサイバーセキュリティ課題に改めて注目を集めた。それは、内部システムを熟知した人物が被害を引き起こす前に阻止することである。First City Monument Bank（FCMB）に関わる本件は、一部の報道で「2万5,000ドルのサーバーハック成功」と形容されたが、入手可能な情報は異なる経緯を示している。

告発の内容は、正当な認証情報を使った不正侵入の未遂に関するものだ。この活動は、攻撃者が銀行のサーバーやデータベースに到達する前に検知され、阻止された。顧客資金の損失はなく、顧客データがアクセスまたは侵害された証拠も存在しない。

報道で言及された2万5,000ドルは、アクセス認証情報と引き換えに提示されたとされる支払い額であり、FCMBやその顧客から奪われた金銭ではない。サーバー管理者1名と元従業員1名が、本件に関連してラゴスの連邦高等裁判所で起訴されている。これらの告発は証明されておらず、被告人は無罪推定の権利を有する。

刑事手続きの枠を超えて、本件は内部脅威が従来型のサイバー攻撃とどう異なるかを示している。銀行は外部のハッカーだけでなく、内部プロセスを理解していたり正当な認証情報を保有したりする可能性のある従業員、契約者、元従業員からもシステムを守らなければならない。この現実により、早期検知が極めて重要になる。

外部のセキュリティ障壁を突破しようとする攻撃者の方が、有効な認証情報や最近流出した認証情報で侵入を試みる人物よりも特定しやすい場合がある。したがって、セキュリティシステムは利用者の本人性だけでなく、その人物の活動が割り当てられた役割と一致するかどうかも評価する必要がある。

このアプローチは多層的な防御に依拠する。アクセスは各職務に必要な情報とシステムに限定すべきである。機密性の高い操作には追加の承認や認証を求める場合がある。職務は分担され、単独の人物が監督なしに高リスクのプロセスを完了できないようにすべきだ。また、制限されたシステムへの侵入の試み、通常の職務範囲外のデータアクセス、通常とは異なる時間帯の活動などを含む異常な挙動を特定するため、継続的な監視も必要である。こうした管理は、最小権限の原則や職務分離といった、世界的な銀行が内部リスク低減のために適用している広く用いられるセキュリティフレームワークとも整合している。

FCMBの事案は、完成した侵害には至らなかった。同行は疑わしい認証情報の侵害を検知し、試みを封じ込め、被疑者を経済金融犯罪委員会（EFCC）に調査・起訴のため送致した。この一連の流れが重要なのは、攻撃の未遂が必ずしもセキュリティシステムの失敗を意味するわけではないからである。

金融機関は継続的に攻撃の標的になっている。サイバーレジリエンスは、機関が不審な活動をどれだけ迅速に検知できるか、そして資金や情報が失われる前に脅威を阻止できるかによっても測られる。ナイジェリアの銀行は中央銀行の監督枠組みの下で運営され、近年デジタルバンキングチャネルを拡大しており、このレジリエンスの維持は顧客の信頼にとって中心的な課題である。

本件は、サイバー犯罪の報道のあり方というより広い問題も提起している。「ハック」「侵害」「不正行為」といった用語は、異なる出来事を表すにもかかわらず、時に互換的に使われる。侵入未遂は、誰かがアクセスを得ようとしたことを意味する。侵害は、その人物が保護されたシステムへの侵入や情報の取得に成功したことを意味する。金銭的損失には、実際に資金が奪われた証拠が必要である。こうした区別は、顧客、規制当局、投資家が事案の重大性をどう評価するかに影響する。

制度としての試験は、その後何が起きるかである。監視システムが活動を特定できるか、アクセスが阻止されるか、脅威が封じ込められるか、そして事案が調査のためにエスカレーションされるか。本件では、ラゴスの連邦高等裁判所での起訴内容が法的な帰結を決定することになり、手続きは現在も継続中である。

被疑者をEFCCに通報したFCMBの判断は、サイバーリスク管理のもう一つの側面、すなわち金融機関と法執行機関の協力の必要性を浮き彫りにする。内部統制は直接的な被害を防げるかもしれないが、訴追は責任を明確化し、同様の行為への抑止力となり得る。

銀行はまた、証拠を保全し、認証情報の取得や統制の回避に使われた手法に関する情報を共有する必要もある。こうした協力は、犯罪ネットワークがソーシャルエンジニアリング、内部情報、デジタルツールをますます組み合わせる中で、金融システム全体の防御を強化し得る。

したがってFCMBの事案は、侵害に至る前に検知された内部アクセス未遂（告発段階）として捉えるのがより正確である。サーバー侵入の成功や金銭的損失は確認されておらず、顧客への影響も特定されていない。本件が示すより広範な教訓は、内部脅威を意図の段階で常に防止できるわけではないということだ。従業員は買収され得るし、認証情報は侵害され得るし、信頼されたアクセスは悪用され得る。より強固な防御とは、アクセスを制限し、挙動を監視し、未遂が損失になる前に介入するシステムである。

出典：TechNext24、FCMB