Crédit Mutuel Arkéaは2026年11月4日、攻撃者がサービスプロバイダーのプラットフォームに侵入し、そこからフランスの銀行グループ本体にまで到達して、同行自身の口座から不正送金を行ったことを認めました。
同行によると、顧客の口座は使われておらず、顧客の資産に影響はありません。調査当局が金銭的被害の範囲を確認しており、一部の資金はすでに凍結されています。
Arkéaは今回の事案を「高度な外部からの攻撃」と説明し、封じ込め措置によって事態は収束に向かっているとしています。侵入経路が確認されたことで、この事案は、外部プロバイダーを通じて組織に侵入するサプライチェーン攻撃という広範な傾向の中に位置づけられます。
Arkéaは、傘下のオンライン銀行Fortuneoが侵入口になったとの報道を明確に否定しました。実際には、攻撃者は名称非公開のプロバイダーのプラットフォームを経由したといいます。
同行は、このプロバイダーの名称も、自社環境に侵入するために使われた技術的な手口も公表していません。そのため、最初の侵害の経緯や、その後のアクセスの流れは、公には明らかになっていません。
攻撃者は侵入後、Arkéa自身の口座を使って他の銀行へ送金しました。これらの取引は、専門のプラットフォームを通じて暗号資産に換えられた可能性があります。
このため、確認された銀行間送金と、まだ確認されていない暗号資産への換金段階は区別して考える必要があります。暗号資産を使ったマネーロンダリングは他の金融サイバー犯罪の捜査でも見られますが、Arkéaは今回の事案に関連する取引所、受け取り側ウォレット、デジタル資産、取引IDを公表していません。
ブロックチェーン追跡で知られる独立調査員のZachXBTは、同行の発表に先立ち、窃取の疑いを公表しました。その後、損失額は1億1,800万ユーロ（約1億3,300万ドル）との推計が出回りました。
Arkéaはこの金額の確認を避け、確認できるのは桁の規模のみだと述べました。一部の資金が凍結され、追加の回収措置も進められているため、被害額の評価は暫定的なものにとどまります。
ロイター通信は別途、同行が損失を広く出回る1億3,300万ドルの推計より低く見積もっていると報じました。Arkéaによると、同行のセキュリティシステムが不審な動きを早期に検知し、既存の危機対応手順と、さらなる不正な資金移動を止めるための措置が発動されました。
担当チームは、確認作業とセキュリティ強化を進める間、一部の取引を一時停止しました。同行の夜間の発表によると、ほぼすべての業務は11月4日午前中に再開されました。
一部の送金では顧客に遅延が生じました。しかし同行は、今回の事案によって、Fortuneoを含む傘下の連合組織や子会社の顧客に金銭的な影響は出ていないと強調しています。
同行は攻撃の検知後、当局や監督機関に通報しました。現在は司法・法執行機関の捜査官と協力し、攻撃の発端と手口の解明を進めています。
AFP通信によると、パリの検察当局は、自動データ処理システムに対する組織的グループによる攻撃として捜査を開始しました。攻撃者は公には特定されていません。Arkéaは、送金の原因が人為的ミスであることも否定しています。
技術面の最大の疑問は、プロバイダーへのアクセスがどのようにして送金を開始する権限につながったのかという点です。Arkéaの発表は、外部プラットフォーム経由の侵入経路と、同行の口座が悪用されたことを示しています。一方で、認証情報の窃取、悪意あるコード、特定の決済システムの脆弱性悪用があったかどうかは明らかにしていません。
同行が出したフィッシング警告は、顧客向けの予防的な注意喚起であり、今回の侵入で顧客情報が漏えいしたことを裏付けるものではないとしています。
ANY.RUNを導入する16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしませんか。チームで試してみる
翻訳元: https://cyberpress.org/hackers-breach-french-bank-credit-mutuel-arkea/
