スイスの透明性登録簿(Transparency Register)は2026年10月1日に運用開始され、約60万の法人組織の背後にいる最終受益者を登録する予定である。しかし、隣国リヒテンシュタインのほぼ同一のシステムへのサイバー攻撃を受け、スイスのウェルスマネジメント業者の間で運用開始の延期を求める声が上がっている。

ハッカーは7月29日から30日にかけての夜間に、リヒテンシュタインの最終受益者登録簿(VwbP)に侵入し、約3.1万の法人組織に関連する個人データを窃取した。侵害された情報には、会社、財団、信託の背後にいる人物の氏名、生年月日、国籍、居住国が含まれていた。財務データへのアクセスはなかった。

リヒテンシュタインで起きたこと

リヒテンシュタインは2021年、EUのマネーロンダリング防止指令への準拠のためVwbPを導入した。7月30日に当局が登録簿の不正を検知し、安全な運用期間は終わりを迎えた。リヒテンシュタイン政府は迅速に対応し、データベースをオフライン化するとともに、ブリギッテ・ハース首相とエマヌエル・シェードラー法務大臣が率いる危機対応チームを設立した。当局は7月31日または8月1日までに正式に通報を受け、侵害の範囲を確認する公式声明は8月2日から4日にかけて発表された。

スイスのウェルスマネジメント業者が懸念する理由

スイスとリヒテンシュタインは、ウェルスマネジメントの分野で深く結びついている。多くのスイスの顧客は、資産構造の一環として、特に財団や信託などリヒテンシュタインに所在地を置く法人組織を利用している。したがって今回の侵害はヴァドゥーツの人々だけでなく、国境を越えてチューリッヒ、ジュネーブなどのプライベートバンキング拠点の顧客にも影響を及ぼす。

スイス自身の透明性登録簿は、リヒテンシュタインのVwbPと同様の仕組みで運用され、国内の法人組織の最終受益者情報を収集する。ただし、その規模は大幅に大きく、リヒテンシュタインの3.1万に対して推定60万の法人組織を対象とする。つまり攻撃対象面はおよそ20倍であり、この点をスイスの金融仲介業者が今、強い緊急性をもって強調している。

ウェルスマネジメント業者の主張は、透明性そのものが悪いということではない。むしろ、鉄壁のサイバーセキュリティなしに、機密性の高い個人情報を集めた巨大な中央データベースを運用開始するのは無謀だというのである。彼らの見方では、リヒテンシュタインでの侵害は、はるかに大規模にスイスの登録簿を狙い得る攻撃の概念実証にほかならない。

この議論は、そもそも誰が最終受益者情報を閲覧できるべきかという、ヨーロッパ全体での広範な論争とも絡み合っている。2022年11月、EU司法裁判所は、こうした登録簿への無制限の一般公開アクセスがプライバシー権を侵害すると判断し、正当な利害関係を有する者へのアクセスに制限した。この判決は、EU加盟国およびリヒテンシュタインのようなEEA加盟国の登録簿の運用方法を変え、運用開始後の透明性登録簿へのアクセスをどの程度厳格に制限すべきかという現在のスイスでの議論の枠組みともなっている。

透明性とセキュリティの緊張関係

最終受益者登録簿が存在するのは、明確な政策目的によるものである。すなわち、法人組織を実際に支配している人物の開示を義務づけることで、マネーロンダリングを困難にすることだ。リヒテンシュタインはEU加盟国ではないものの、欧州経済領域(EEA)加盟を通じてこの枠組みを採用した。こうした登録簿は、金融行動タスクフォース(FATF)やG20などの機関による、ペーパーカンパニーが提供し得る匿名性を撤廃する国際的な取り組みの一環である。

窃取されたリヒテンシュタインのデータには口座残高や取引履歴は含まれていないものの、決して無害ではない。最終受益者の氏名と生年月日に国籍や居住国が組み合わされば、高度なソーシャルエンジニアリング攻撃、なりすまし(アイデンティティ盗用)、さらには富裕層個人に対する身体的な安全への脅威につながる十分な情報となる。

2026年10月の運用開始に向け、スイス当局がウェルスマネジメント業者の懸念にどう対応するか――アクセスルールの調整、セキュリティ要件の強化、あるいは延期のいずれであれ――は、同国がマネーロンダリング防止への国際的コミットメントと、プライベートバンキング部門のデータ保護への期待をどのように天秤にかける意思なのかを示すものとなる。