ハッカーが、サプライヤーのプラットフォームを経由して、クレディ・ミュチュエル・アルケア（Crédit Mutuel Arkéa）から約1億ユーロを盗み出しました。顧客資金に被害はなく、同行は資金の回収を続けています。
StudySecurity
フランスの銀行グループであるクレディ・ミュチュエル・アルケアは、サービスプロバイダーのプラットフォームを足がかりにした攻撃者によって、自行の口座から不正送金された資金の回収を進めています。ロイターは11月5日、同行が被害額を約1億ユーロと見積もっていると報じました。ただし、最終的な財務への影響は現在も精査中です。
同行によると、顧客資金に影響はありませんでした。一方で、インシデントの封じ込めのため、一部の送金に遅延が生じたといいます。盗まれた資金の一部は凍結されており、残る資金の回収に向けた取り組みが続いています。
続報は11月6日に出ました。全国クレディ・ミュチュエル連合（Confédération nationale du Crédit Mutuel）のダニエル・バール（Daniel Baal）会長がフランス5の番組で、資金の一部を回収したと明らかにしました。ただし、回収額には言及しませんでした。
攻撃者は同行自身の口座を悪用
アルケアは11月4日の声明で、社名非公表のサービスプロバイダーが運営するプラットフォームを経由して攻撃を受けたと説明しました。攻撃者はその後、同行自身の口座を使って他の金融機関へ資金を移しました。同行は、これにより資金が暗号資産に換えられた可能性があるとしています。
アルケアは、オンライン子会社のフォーチュネオ（Fortuneo）が侵入口になったとする報道を否定しました。また、攻撃者は同行のバンキングネットワークや子会社に属する顧客口座を使っていないとも述べています。
この点は、今回の窃取を説明するうえで重要です。盗まれたのは同行が保有する口座の資金であり、顧客の残高から直接引き出されたものではありません。その後の資金移動に関する報道では暗号資産が登場しますが、同行は取引の全容をまだ公表していません。
ブロックチェーン調査員のZachXBTは、11月2日に不審な出金を最初に指摘し、のちにアルケアが被害者とみられると特定しました。同氏の分析やフランスのメディア報道では、被害額はさらに多い約1億1,800万ユーロ（1億3,300万ドル）とされています。
アルケアは、この具体的な金額を認めていません。声明では「この情報は確認しておらず、規模感についてのみ妥当と判断できます」（フランス語からの翻訳）と述べています。
したがって、ロイターが報じた約1億ユーロという数字は暫定的なものとして扱うべきです。凍結された資金や回収分を差し引いた最終的な損失額ではありません。
サプライヤー経由のアクセス手法は不明のまま
アルケアは、第三者のプラットフォームが自社の業務システムへの侵入経路になったと特定しました。しかし、そのプロバイダーの名称は明かしておらず、攻撃者がどのようにアクセスを得たのかも説明していません。声明は外部からの攻撃だと述べ、同行側のヒューマンエラーが原因だとする見方を否定しています。ただ、どの対策が機能しなかったのかを判断できるだけの技術的な詳細は示していません。
フランスの検察当局は、この窃盗事件について捜査を開始しました。アルケアは、司法当局や警察と連携して対応しており、欧州中央銀行（ECB）とフランスの銀行監督当局にも報告したと説明しています。
対応の過程で、同グループは不正送金の拡大を防ぐため、一部の取引を一時的に停止しました。確認作業と追加の セキュリティ対策を経て、ほとんどの業務は11月4日に再開しています。
CompareSecurity
アルケアは、今回の金銭的影響がグループの財務の健全性を脅かすことはないとしています。ロイターによると、同銀行グループの資産規模は2,115億ユーロです。
顧客にフィッシングへの注意を呼びかけ
同行は事案の公表にあわせて、詐欺師が攻撃のニュースに便乗し、顧客にフィッシングメッセージを送りつける恐れがあると警告しました。銀行のユーザー名やパスワード、カード情報、SMS認証コードは決して教えないよう呼びかけています。不審な連絡を確認する際は、担当の銀行アドバイザーに直接問い合わせるよう促しました。
この警告は予防的な措置です。アルケアの公式発表は不正送金について述べるにとどまり、顧客情報が盗まれたとは確認していません。
今回の事件の前にも、フランスの組織を狙った攻撃は相次いでいます。たとえば、スーパーマーケットの冷蔵システムや国の血液事業が標的になりました。これらは別のシステムが関わる事案で、アルケアの窃盗事件との関連は確認されていません。
専門家はサプライヤーのアクセスで承認できる範囲に疑問
アクセス手法が明らかになっていない中、Ridge Securityのシニアディレクター兼オフェンシブ セキュリティエバンジェリストのダリン・フレッド（Darin Fredde）氏は、攻撃がどう成功したのかを憶測で判断しないよう注意を促しました。
CompareSecurity
「見出しだけで結論を急ぐのは禁物です。クレディ・ミュチュエル・アルケアが公表した内容は分かっていますが、攻撃の全容は分かっていません。どの対策が機能しなかったのか、攻撃者がどう動いたのかを推測すれば、興味深い話にはなるかもしれません。しかし、それで誰かの安全性が高まるわけではありません」。フレッド氏はHackread.comにこう語りました。
Secure.comのエンジニアリング責任者であるワシーム・アフメド（Waseem Ahmed）氏は、金融業務にアクセスできるサプライヤーは、支払いプロセスの一部として評価する必要があると指摘します。
「自社のシステムへの経路を持つプラットフォームを運営するサプライヤーは、意図したかどうかにかかわらず、支払いチェーンの一部です。チェーンの他の部分と同じ水準の統制が必要です」とアフメド氏は述べました。
同氏は、サプライヤー経由のアクセスで、見覚えのない受取人への支払いを承認できてしまわないかを検証するよう勧めています。あわせて、複数のシステムからの送金を合算して管理する上限額の設定も推奨しました。
「まず1つの経路を試してください。サプライヤーのアクセス経由で侵入した人物が、これまで支払ったことのない受取人に送金できるでしょうか。次に、自社口座からの流出額に上限を設けます。送金できるすべてのシステムを横断し、数日間にわたって合算してカウントします。流出額がその上限を超えたら、新規の支払いや通常と異なる支払いは承認待ちにすべきです」
翻訳元: https://hackread.com/hackers-steal-e100m-credit-mutuel-arkea-supplier-platform/
