ブラジルのフィンテック大手Sinqia、1億3千万ドルの強奪未遂を明かす

ブラジルの大手フィンテック企業が、サイバー攻撃の詳細を明らかにしました。この攻撃では、脅威アクターが2つの銀行顧客から7億1千万レアル（1億3千万ドル）を盗もうと試みました。

Evertecの子会社であるSinqiaは、国内の金融機関が中央銀行の人気即時決済システム「Pix」と接続するためのソフトウェアを提供しています。

しかし、同社によると8月29日にPix環境内で不正な活動が確認されました（SECへの提出書類より）。

「この不正な活動は、SinqiaのPix取引処理サービスを利用する2つの金融機関間の企業間金融取引に関連しています」と説明しています。

「同社は、2025年8月29日にこれら2つのSinqia顧客に影響を与える約7億1千万レアルの不正取引がSinqiaのPix環境を通じて処理されたと考えています。そのうちの一部は回収されたとの報告を受けており、さらなる回収作業も進行中です。」

Sinqiaは、不正取引はSinqiaの「ITベンダー」の1社から流出した認証情報が脅威アクターに悪用されたことで可能になったと付け加えました。

影響を受けた2つの金融機関はHSBCとArttaであることが、後者のウェブサイト上の通知で明らかになっています。

Sinqiaは流出した認証情報へのアクセスを遮断し、影響を受けた関係者は現在、Pixおよびブラジル決済システム（SPB）サービスの再開時期についての決定を待っています。

Sinqiaは、不正な活動を検知した際、直ちにインシデント対応プロセスを開始し、Pixの取引処理を停止した後、フォレンジック専門家を招集したと述べています。

「その後、BCB（ブラジル中央銀行）は、SinqiaがSPBおよびPixでの取引処理を再開するには、BCBが実施した対応策を審査・承認するまで認めないと通知しました」とSECへの提出書類で付け加えています。

「Sinqiaは、ブラジルの連邦および州の法執行機関、ならびにPix環境を利用する金融機関顧客に迅速に連絡しました。」

この襲撃でデータが盗まれた形跡はないと考えられています。

高額認証情報窃盗のさらなる事例

犯人の身元は不明ですが、この攻撃自体は比較的単純なもののようです。しかし、これは静的パスワードに関連するセキュリティリスクのさらなる一例です。

2024年4月のMandiantのレポートによると、初期アクセスのために盗まれた認証情報が使用された事例は2024年には全体の16%を占め、前年の10%から増加しました。これは脆弱性の悪用に次いで2番目に多い手法となっています。

VerizonのDBIRでは、この割合を22%としていますが、これは特にデータ侵害に関する数字です。

初期アクセスや横展開の手法として盗まれた認証情報が利用される背景には、インフォスティーラー（情報窃取型マルウェア）の蔓延があります。2025年前半だけで約18億件の認証情報が盗まれており、これは前の6ヶ月間と比べて800%の増加となっています（Flashpointによる）。