決済事業者のソフト更新で生じた脆弱性で不正アクセス、約3,000万ユーロの銀行不正引き落とし-ブラジルで4人逮捕

ブラジル連邦警察は2026年8月13日、ドイツの金融機関を標的とした電子銀行詐欺やマネーロンダリングを巡り、「Operation Klonen」を実施したと発表しました。2023年11月に発生した攻撃では、決済サービス事業者のソフトウェア更新によって生じた脆弱性が悪用され、ドイツのオンラインバンキング利用者の口座から多数の不正な引き落としが行われたとされています。

ブラジル連邦警察は被害額を約3,000万ユーロとしています。ドイツ連邦刑事庁（BKA）によると、攻撃者が脆弱性を悪用できた期間は4日間で、盗まれた資金の大半はブラジルへ送られました。2026年8月13日の捜査ではブラジル国内で4人が逮捕され、21カ所が捜索されています。

約3,000万ユーロの銀行不正引き落とし事件のサマリー

確認済みの事実

• 事件は2023年11月に発生し、ドイツのオンラインバンキング利用者の口座から多数の不正な引き落としが行われました。
• BKAによると、決済サービス事業者のソフトウェア更新に不備があり、決済・記帳プロセスに脆弱性が生じていました。
• 攻撃者はこの脆弱性を直接悪用し、4日間の時間帯で不正な引き落としを実行したとされています。
• ブラジル連邦警察は、ドイツの金融機関が受けた推定被害額を約3,000万ユーロとしています。
• 盗まれた資金の大半は犯罪ネットワークを通じてブラジルへ送られ、一部は欧州4カ国でも現金化されたとBKAは説明しています。
• ブラジル連邦警察は2026年8月13日、「Operation Klonen」を実施しました。
• ブラジル国内7都市で21件の捜索・押収令状が執行され、4人が逮捕されました。
• ブラジルの裁判所は金融資産、車両、不動産について最大約1億600万レアル相当の差し押さえを命じています。
• ドイツ当局は欧州にいる別の容疑者3人を特定しており、スペインとブルガリアの当局が対応するとしています。
• 被害を受けたドイツの金融機関名は、ブラジル連邦警察とBKAの公式発表では公表されていません。

未確認・非公表の事項

• 脆弱性が存在した決済サービス事業者の名称
• 問題が生じたソフトウェアや製品の名称・バージョン
• CVE番号やCVSS
• ソフトウェア更新の具体的な不具合内容
• 攻撃者が脆弱性を把握した経緯
• 顧客の認証情報が侵害されたかどうか
• 今回の不具合が一般に利用可能な製品にも影響していたかどうか

項目	内容
公表日	ブラジル連邦警察：2026年8月13日、BKA：2026年8月14日
事件発生時期	2023年11月
被害対象	ドイツの金融機関およびオンラインバンキング利用者の口座
インシデント	多数の不正な引き落とし
原因	決済サービス事業者の誤ったソフトウェア更新で生じた決済・記帳プロセス上の脆弱性
悪用期間	4日間
推定被害額	約3,000万ユーロ（ブラジル連邦警察発表）
資金の移動先	大半がブラジル、一部が欧州4カ国
ブラジルでの捜査	21件の捜索・押収、4人を逮捕
資産差し押さえ	最大約1億600万レアル相当
欧州の容疑者	3人を特定。スペイン、ブルガリア当局が対応
被害金融機関名	公式には非公表
CVE・製品名	公表されていない

誤ったソフトウェア更新で決済プロセスに脆弱性

ドイツ連邦刑事庁（BKA）とフランクフルト検察庁のサイバー犯罪対策部門ZITは、2023年からオンラインバンキングに関するコンピューター詐欺の捜査を進めていました。

BKAによると、攻撃者は2023年11月、決済サービス事業者に存在した脆弱性を悪用し、ドイツのオンラインバンキング利用者の口座から多数の不正な引き落としを実行しました。

脆弱性は、決済サービス事業者が実施した「誤ったソフトウェア更新」によって記帳プロセスに生じたものとされています。攻撃者はこの状態を直接悪用し、わずか4日間で多数の不正取引を実行したとBKAは説明しています。

現時点で、決済サービス事業者名やソフトウェア名、バージョン、CVE番号、脆弱性の技術的詳細は公表されていません。このため、既知CVEの悪用やゼロデイ攻撃だったと判断できる情報はありません。

また、公式発表はオンラインバンキング利用者の口座から不正な引き落としが行われたとしていますが、利用者のIDやパスワードなどの認証情報が窃取されたとは説明していません。一般的なフィッシングやアカウント乗っ取りによる不正送金と同一の手口とみなすことはできません。

被害額は約3,000万ユーロ、大半の資金をブラジルへ移動

ブラジル連邦警察によると、ドイツの金融機関は2023年末、ブラジルを起点とするサイバー攻撃によって約3,000万ユーロの被害を受けたとして、同国当局に情報を提供しました。

BKAは具体的な被害額を「百万ユーロ単位」と表現していますが、盗まれた資金の大半が犯罪ネットワークを通じてブラジルへ送られ、複数の方法で出所を隠した後に払い出されたと説明しています。一部の資金は欧州4カ国でも同様に処理されました。

ブラジル連邦警察の捜査では、犯罪収益の移動や隠匿に、名義人の同意なく発行された決済カード、資金通過用の口座、企業、決済機関、暗号資産などの仮想資産プラットフォームが利用された疑いがあるとしています。

また、捜査対象者の1人が2024年に選挙へ立候補し、不正に得た資金の一部を選挙活動に使用したことも確認したとしています。

ブラジルで4人逮捕、21カ所を捜索

ブラジル連邦警察は2026年8月13日、「Operation Klonen」を実施しました。

捜査はリオデジャネイロ州、サンパウロ州、ゴイアス州の7都市に及び、計21件の捜索・押収令状を執行しました。さらに、リオデジャネイロ、グアルーリョス、ゴイアニア、カラピクイバでそれぞれ1人、計4人に対する予防拘禁令状が執行されています。

裁判所は金融資産、車両、不動産について、最大約1億600万レアル相当の差し押さえも命じました。

ブラジル連邦警察は、捜査対象者について、それぞれの関与に応じて電子的詐欺を伴う加重窃盗、犯罪組織への参加、マネーロンダリングなどの責任を問われる可能性があるとしています。

ドイツ当局は欧州の容疑者3人を特定

ドイツ側では、フランクフルト検察庁ZITとBKAが欧州にいる容疑者3人を特定しています。

BKAによると、3人についてはスペインとブルガリアの法執行機関が対応する予定です。

今回の捜査はドイツ、ブラジル、スペイン、ブルガリア当局の国際協力によって進められています。ブラジルで押収された証拠などは、今後のドイツ国内の捜査にも活用されるとしています。

被害金融機関名は公式には非公表、BleepingComputerはCommerzbankと報道

ブラジル連邦警察は被害組織を「ドイツの金融機関」、BKAはオンラインバンキング利用者の口座が被害を受けた事案として説明しており、金融機関名を公表していません。

一方、BleepingComputerはブラジルの報道を基に、被害金融機関はCommerzbankだったと報じています。同メディアはCommerzbankから回答を得たとして、2023年にサービス事業者の技術的問題を原因とする不正な口座引き落としが発生したものの、顧客には金銭的損失がなかったと伝えています。

ただし、Commerzbankを被害金融機関として名指しする情報は、今回確認したブラジル連邦警察およびBKAの一次発表にはありません。このため、被害金融機関名については公式確認事項と二次報道を分けて扱う必要があります。

「サービスプロバイダーの脆弱性」が示すサードパーティリスク

今回の事件では、金融機関の利用者を直接だまして認証情報を入力させたことや、金融機関本体へ不正侵入したことが公式に説明されているわけではありません。

公表されているのは、決済サービス事業者のソフトウェア更新によって生じた脆弱性が、金融取引の処理に悪用されたという点です。

このため、本件を直ちに「ソフトウェアサプライチェーン攻撃」と分類するのは適切ではありません。攻撃者がソフトウェア更新そのものを改ざんしたとの説明はなく、正常な更新作業の結果として生じた不具合を後から悪用したとみられるためです。

一方で、金融機関が外部の決済・取引処理サービスに依存する場合、その事業者側の変更管理や障害が自社の不正取引リスクへ直結することは明確です。

国内でも、委託先やITサービス事業者を含めたリスク評価の重要性が高まっています。セキュリティ対策Labでは、取引先・委託先のセキュリティ水準を確認する仕組みとして「セキュリティ対策評価制度（SCS評価）とは？概要と求められる対応を解説」を解説しています。

情報システム部門・金融システム担当者への示唆

今回の事件で注目すべきなのは、ソフトウェアの脆弱性管理だけではなく「変更管理」と「取引異常検知」の組み合わせです。

決済や会計、認証などの重要プロセスを外部サービスへ依存している組織では、事業者が実施するソフトウェア更新について、テスト、承認、ロールバック、障害時の連絡、緊急停止の手順まで含めて確認する必要があります。

特に金融取引では、アプリケーションが正常稼働しているように見えても、取引ロジックや記帳処理に不整合が生じれば金銭的被害につながる可能性があります。セキュリティ監視だけでなく、通常時と異なる引き落とし件数、金額、送金先、地域、時間帯などを業務側でも検知できる仕組みが重要です。

また、外部サービス事業者でインシデントが発生した際に、自社側でどの取引を停止できるか、影響を受けた取引をどのように特定・取消・補償するかについて、事前に手順を整備しておく必要があります。

今回の公式発表では、問題となった決済サービス事業者や製品、脆弱性の詳細が明らかにされていません。金融機関や決済事業者は今後のBKA、ブラジル連邦警察、関係事業者からの追加公表を継続して確認することが重要です。

 

出典

• PF deflagra operação contra fraudes bancárias eletrônicas e lavagem de dinheiro – Polícia Federal（ブラジル連邦警察）
• Internationale Ermittlungserfolge nach Millionenschaden durch Computerbetrug – Bundeskriminalamt（ドイツ連邦刑事庁）
• Hackers arrested over €30M bank fraud exploiting service provider flaw – BleepingComputer
• セキュリティ対策評価制度(SCS評価)とは？概要と求められる対応を解説 – セキュリティ対策Lab