コマーツ銀行の詐取被害3,000万ユーロ、原因はベンダーの不具合 ブラジルで4人逮捕

決済委託業者のソフトウェア不具合が悪用され、犯罪者らはわずか4日間でドイツのコマーツ銀行(Commerzbank)顧客口座から約3,000万ユーロを引き出しました。盗まれた資金は複数の仲介業者や金融サービスを経由して洗浄され、大部分はブラジルで現金化されていました。この事件の捜査は3年近くに及び、最終的にブラジルで4人が逮捕されたほか、欧州でも別の容疑者3人に対する刑事手続きが進められています。

発端は2023年11月、ベンダーの不具合が突破口に

不正な取引が行われたのは2023年11月のことでした。ドイツ連邦刑事庁(BKA)が確認したところによると、犯罪者らは、被害を受けた金融機関の決済・取引処理を担う企業でソフトウェアの更新に不具合が生じたことに端を発する脆弱性を悪用しました。この不具合により、攻撃者は銀行口座から不正な口座引き落としを開始できる状態になっていました。数日間にわたり、犯行グループはドイツのオンラインバンキング利用者の口座を通じて多数の不正取引を実行しました。

ドイツとブラジル両国の捜査当局は被害を受けた金融機関の名称を公式には明らかにしていませんが、ブラジルの複数の報道機関はこれをコマーツ銀行だと特定しています。同行自体も不正な引き出しがあったことを認めており、その原因を第三者のサービス提供会社における技術的な問題によるものとしています。この結果、コマーツ銀行の顧客自身が金銭的損失を被ることはなく、銀行側が損失を負担した上で捜査に全面的に協力しました。

国境をまたぐ複雑な資金洗浄チェーン

最初の窃取の後、犯人グループは盗んだ全額を単純に少数の管理口座へ直接送金したわけではありませんでした。捜査当局が明らかにしたのは、資金の出所を意図的に隠蔽するために設計された、はるかに手の込んだ資金洗浄の連鎖でした。資金は中継用の銀行口座やペーパーカンパニー、決済サービス事業者を経由し、さらに仮想資産取引を扱うプラットフォームを通じて流され、最終的には決済カードを使って引き出されていました。

これらのカードの一部は、本人の認識や同意のないまま、盗まれた個人情報を用いて発行されていました。この仕組みにより、盗まれた資金は多数の口座や受取人に分散され、繰り返し形を変えながら移動することで、追跡が著しく困難になっていました。

現金化の拠点となったブラジル

盗まれた3,000万ユーロの大部分は最終的にブラジルで現金化され、比較的少額の部分が欧州4カ国を経由していました。捜査当局は欧州に所在する容疑者3人をさらに特定しており、その刑事事件はスペインとブルガリアの捜査当局によって追及される予定です。

「クローネン作戦」——捜索令状21件、4人逮捕

2026年8月14日、ブラジル連邦警察はドイツのBKAの支援を受け、「クローネン作戦(Operation Klonen)」を実施しました。捜査官らはブラジル国内7都市にわたり、捜索・押収令状21件を執行しました。

容疑者4人が勾留命令のもとで拘束され、逮捕はリオデジャネイロ、グアルーリョス、ゴイアニア、カラピクイーバの各地で行われました。同時に、ブラジル連邦裁判所は最大1億600万ブラジルレアル(約2,240万米ドル)相当の金融資産、車両、不動産の差し押さえを命じました。

政界とのつながりも浮上

今回の捜査では、盗まれた資金とブラジル政界とのつながりも明らかになりました。容疑者の1人は2024年に公職選挙に立候補していた人物でした。ブラジル連邦警察によると、この人物は不正に得た資金の一部を自身の選挙運動の資金に充てていたとされています。

ブラジルで拘束された容疑者らは、電子詐欺による加重窃盗、犯罪組織への関与、資金洗浄の容疑に問われています。欧州側の捜査については、スペインとブルガリアで別途継続され、特定された容疑者3人の追及が進められる見通しです。