ハッカー、オープンバンキングを悪用して盗んだ銀行ログイン情報を検証

ハッカーが正規の金融プラットフォームを悪用し、盗んだ銀行ログイン情報を無料で検証していました。

Group-IBは10月20日付のレポートで、犯罪者が名前の明かされていない支出管理サービスを悪用し、盗んだ認証情報の確認とフィッシングメッセージの拡散を行っていた実態を明らかにしました。

セキュリティチームにとってこの事例は、監視の死角を浮き彫りにしています。口座連携や顧客向け通知が、取引制御で資金移動が検知される前の段階で、不正行為を支える可能性があるためです。

口座連携で銀行の残高と取引履歴が露呈

顧客は、オープンバンキングのアグリゲーターを通じて外部の銀行口座を連携できました。連携に成功すると口座残高と取引履歴が返されるため、犯罪者は盗んだログイン情報のうち有効なものを確認でき、資金のある口座も特定できました。

一方、ルーティング番号と口座番号による手動連携では、同様の情報は得られませんでした。そこで攻撃者は、ログイン情報を使う連携方式を悪用し、支払いを開始することなく認証情報をテストしました。

Group-IBの推計によると、オープンバンキングの検証には、課金契約にもよりますが、連携成功1件あたり通常おおよそ0.30ドルから1ドルのコストがかかります。これは業界の推計値であり、被害を受けたサービスで確定した請求額ではありません。犯罪者は、この検証手数料を自ら負担することなく結果を得ていました。

偽のマーケットプレイス通知で銀行情報を収集

2026年4月下旬、このプラットフォームは、決済通知とメールのシステムが悪用され、毎日数千人の受信者にフィッシングリンクが送られていると報告しました。詐欺師は使い捨てメールアドレスでアカウントを登録し、Poshmarkになりすましたメッセージを生成しました。内容は、売買が成立したため本人確認が必要だというものです。

短縮リンクの先は、カウントダウンタイマーを表示する偽のマーケットプレイスページでした。不正なフォームは個人情報やカード情報を収集し、場合によっては銀行の認証情報やワンタイムパスコードも要求しました。

調査担当者は、4月27日と28日に記録された共通のデバイスフィンガープリントを手がかりに、フィッシング活動と認証情報テスト用アカウントを結び付けました。両方の活動は同時に行われており、新たに入手した認証コードをすぐに使える状態でした。研究者らは、サービス型詐欺（scam-as-a-service）のClassiscamとの類似点も確認しています。

その後Group-IBは、不審なアカウントのブロックに要する時間を数時間から1分未満へ短縮しました。2026年5月には、230を超える不正アカウントを停止しています。レポートはプラットフォーム名を明らかにしておらず、被害総額も示していません。Group-IBは、この活動をClassiscamと矛盾しないものと評価していますが、同組織の犯行と断定してはいません。

金融プラットフォームは資金移動の前に不審な動きを調査すべき

金融連携を運用する組織は、不正検知の対象を、支払いに先立つ活動にまで広げる必要があります。管理しているサービスに応じて、次のような確認を行えば、攻撃者が検証済みの認証情報を別の場所で使う前に悪用を見つけやすくなります。

• フィンテック企業・プラットフォームの管理者：新規登録アカウントによる銀行連携の試行の繰り返しを確認します。ボット対策やデバイスインテリジェンスを使い、不審な登録を相関分析します。アグリゲーターの請求額と正規顧客の連携件数を突き合わせ、原因不明の検証コストを洗い出します。
• 不正対策・メッセージング担当チーム：見知らぬ受信者に送られる決済通知の急増、特に新規アカウントからのものを調べます。埋め込みリンクを確認し、正規サービスを悪用したフィッシングへの対策を講じて、金融通知が不正な指示の拡散に使われるのを防ぎます。
• 銀行のセキュリティチーム：クレデンシャルスタッフィングやログイン情報の盗難が疑われる場合は、通常と異なる第三者の口座連携を調査します。最近の認可を確認し、対応可能な範囲で見覚えのない連携を取り消し、影響を受けた顧客と協力して認証情報をリセットします。

財務チームも、セキュリティ上の調査結果とあわせて検証費用を確認すべきです。請求額の不自然な増加は、取引監視では見逃される悪用の兆候である可能性があります。こうしたパターンを早期に捉えれば、犯罪者が得た情報をさらなる詐欺に使う前に、認証情報のテストを阻止できます。

サイバーセキュリティニュースをもう1件：ETSのログイン情報が侵害され、カリフォルニア州の現・元学生数百万人の機密記録が流出