カンザス州のATMジャックポッティング事件、5人が有罪を認める

物理的なアクセスと適切なマルウェアさえあれば、犯罪者は正規の取引を経ずにATMへ現金を吐き出すよう指示できてしまいます。

これが、カンザス州で発生したジャックポッティング未遂事件の手口でした。この事件では、ベネズエラ国籍の5人が銀行窃盗共謀罪で有罪を認める結果となりました。

グループは2025年12月にインディアナ州から移動し、ワメゴ市とマンハッタン市のATMにマルウェアを仕込もうとしました。狙いは、侵害したATMを遠隔操作で起動させ現金を吐き出させることでした。

いずれの試みも失敗に終わりましたが、この事件は全米規模でATMジャックポッティングが増加している中で発生しました。

FBIによると、犯罪者たちは物理的アクセスと、ATMのハードウェア制御ソフトウェアと連携するマルウェアを組み合わせて使用しているといいます。これにより、正規のカードや顧客口座、銀行の承認を経ずに現金を引き出せる可能性があるとしています。

ATMジャックポッティングとは

本来ATMは、銀行が取引を承認した後にのみ現金を吐き出す仕組みになっています。ジャックポッティングはこの前提を根底から覆す攻撃です。

通常、顧客のカードデータやPINを盗み取ろうとするスキミングとは異なり、ジャックポッティングはATM本体そのものを標的にします。

攻撃はまず、ATMへの物理的なアクセスから始まります。カンザス州の事件では、検察当局によると、5人の被告はマルウェアに対して脆弱だと考えられるATMを意図的に狙っていたとされています。

ATMにマルウェアが仕込まれると、攻撃者はATMのアプリケーションと物理ハードウェアをつなぐソフトウェア層を標的にすることができます。

FBIの勧告によると、Ploutusファミリーのマルウェアは、ATMのアプリケーションとハードウェアをつなぐeXtensions for Financial Services(XFS)層を悪用できるとされています。攻撃者はXFS経由で不正なコマンドを発行することで、銀行カードや顧客口座、銀行の承認なしに現金を放出するよう現金払出機に指示できてしまいます。

金銭目的のハッキングが見せる新たな手口

これまで金銭目的のハッキングといえば、銀行口座の認証情報を盗み出したり、口座を侵害したり、被害者をだまして送金させたりする手口が一般的でした。しかしジャックポッティングは、お金そのものの供給源を直接狙うという別のアプローチを取ります。銃の代わりにマルウェアと侵害したATMハードウェアを使って現金を手に入れるという点で、銀行強盗に近い犯罪だと言えるでしょう。

この変化が重要なのは、ジャックポッティングでは顧客をだましたり個々の口座を侵害したりする必要がない点にあります。攻撃者は代わりに、銀行の現金を保管している機械そのものを標的にします。

FBIが公表した数字を見ると、これは孤立した犯罪手口ではなく、より深刻化しつつある問題であることがわかります。

同局によると、2020年から2025年にかけて米国内で確認されたATMジャックポッティング事件は1,900件に上ります。うち700件以上が2025年だけで発生し、被害額は2,000万ドルを超えました。

FBIによれば、不審な口座活動から発覚することが多い一般的な不正とは異なり、ジャックポッティングは数分でATM内の現金を空にしてしまうため、現金がなくなるまで発覚しない場合もあるといいます。

未遂に終わった事件が示す教訓

今回の攻撃が失敗に終わった事実は、組織にとって複数の防御策を組み合わせることがいかに重要かを物語っています。

報道によると、被告らはマルウェアに対して脆弱だと考えられるATMを狙っていたとされており、これは攻撃者が最も防御の堅いシステムを突破しようとするのではなく、最も弱いシステムを探し出すものだということを改めて示しています。

つまり、すべてのソフトウェアと基盤となるオペレーティングシステムにパッチを適用し続けること、そしてソフトウェアと接続されたハードウェアとの通信インターフェースを堅牢化することが求められます。

ただし、この教訓はATMに限った話ではありません。セキュリティチームは、防御策が破られる可能性を前提に、侵害の試みを見逃さない仕組みを構築しておく必要があります。

そのためには、多層防御(defense-in-depth)の手法を導入することが有効です。アクセス制御によって不正な侵入を防ぎ、エンドポイント保護によってマルウェアをブロックし、アプリケーション制御によって実行を許可するソフトウェアを制限し、さらにログ記録と監視によって、先行する防御策が破られた場合でも不審な活動を発見する機会を確保できます。

ワメゴ市では、マルウェアのインストール試行が警報を作動させ、これをきっかけに法執行機関が現場に急行しました。両方の窃盗未遂は監視カメラにも捉えられており、当局は数日後に被告らを逮捕しました。

金融機関にとってのより大きな教訓は、ATMのセキュリティは物理的アクセスとデジタルアクセスの両方をカバーしなければならないという点です。ソフトウェアへのパッチ適用、アクセス制限、デバイス活動の監視、そして重複する管理策の維持により、一つの鍵の破られやアラートの見逃しが、現金払出機を空にする事態へとつながることを防げます。

関連記事: 新たなAndroidマルウェア「Manic」が銀行認証情報を窃取し、近くの感染端末を経由してデータを中継——金銭目的の攻撃者が従来の防御策を回避する新たな手口を模索し続けている実態を浮き彫りにしています。