【悲報】銀行が直接撃ち抜かれた。「1000万円まで安心」のルール、サイバー攻撃には通用しない #銀行 #サイバー攻撃 #不正送金
銀行が直接狙われ始めた――「1000万円まで安心」が通用しない、新しい不正送金の形
11月3日、台湾の銀行が攻撃を受け、400人超の口座から預金が勝手に外部へ送金された。翌11月4日にはフランスの銀行がサイバー攻撃で約177億円を不正送金され、同じ日、インド政府は金融業界向けに緊急警告を出した。8月から11月にかけて銀行・金融機関への攻撃が繰り返されていたことを受けたものだ。一連の事件が示しているのは、攻撃の標的が「ユーザー」から「銀行そのもの」へ移ったという事実である。
これまでの不正送金事件は、利用者側のPCやスマホがマルウェアやフィッシングに感染し、ネットバンキングのID・パスワードが流出するパターンが中心だった。ところが現在報告されている手口では、AIを駆使した攻撃で銀行の送金APIが直接悪用され、本人確認チェックも限度額設定も迂回されて送金が実行される。つまり、利用者がどんなに気をつけていても防げない層の攻撃に変わってきたということだ。
「1000万円まで大丈夫」は銀行破綻の話、サイバー攻撃には無関係
多くの人が「預金は1000万円まで安全だ」と信じているが、これは預金保険法が定める「金融機関が破綻した場合」のルールにすぎない。サイバー攻撃による不正送金にはそのままでは当てはまらない。では何が適用されるのか。個人の利用者については、全国銀行協会が次の方針を定めている。利用者に一切過失がなければ原則補償、利用者に過失があれば補償は減額、あるいは対象外――補償の行方は「過失がどこにあるか」で決まる。
銀行のサーバーが直接攻撃されて資金が流出したのであれば、利用者に過失を求めるのは難しい。原則補償の可能性が高い。逆に、利用者側のPCがウイルスに感染したり、フィッシング詐欺にIDやパスワードを入力してしまったりして漏れた情報経由でやられた場合は、過失ありと判断され、戻ってこない世界に入る。全銀協の公式文書は「補償減額または補償せず」となる事例を具体的に列挙している。銀行が複数回注意喚起していた手口で騙された場合、警察や銀行を騙る相手にIDを答えてしまった場合、ID・パスワードを手帳やスマホにメモしていて盗難で流出した場合――そして、あまり知られていないのが最後の項目だ。
通帳記帳やネットバンキングのログインで身に覚えのない残高変動に気づいていたのに銀行への通報を怠っており、その間に犯行が行われた場合、あるいは自機のウイルス感染を認識しながら連絡しなかった場合も、過失とみなされる。「残高が減っていたけど家族の仕業かも、ちょっと様子を見よう」と思った数時間で二次・三次被害が進行すれば、その分は自己責任になりうる。ウイルスに感染したと分かっていて銀行に連絡しない人などまずいないだろうが、ルール上はそこまできっちり書かれている。
銀行ごとの「セキュリティ対策義務」という落とし穴
さらにややこしいのが、銀行ごとの個別ルールだ。例を挙げると宮崎銀行の補償規定では、銀行が無償提供するセキュリティソフトを使っていない、パスワードを最低6か月ごとに更新していない、OSやブラウザを最新にしていない、ワンタイムパスワードを使っていない、無線LANのセキュリティ機能を設定していない――こうした場合に補償が減額されうると明記されている。全銀行に共通するルールではないが、「自分は過失ゼロ」と自信を持って言い切れる人は意外と少ないのが実情だ。自動更新を切っている、古いWindowsをまだ使っている、というだけで足元をすくわれる可能性がある。
過失がゼロでも残る「残高を証明できない問題」
では、銀行側が攻撃されて利用者に過失がないケースなら安心か。安心材料もある。金融庁のサイバーセキュリティガイドラインにより、銀行は重要システムのデータを組織内ネットワークから切り離した複数の環境にバックアップすることが求められており、メインのシステムがぐちゃぐちゃに破壊されても、隔離されたバックアップから預金データを復旧する仕組みになっている。銀行が倒産しない限り、全額補償される可能性は極めて高い。
ただし現実的な問題として、攻撃で銀行のシステムが止まっている間、自分の残高をどこにも確認できないということがある。いまや紙通帳ではなくWeb通帳が主流だ。銀行のサイトにログインできなければ、戻ってきた額が正しいのかを検証するすべがなく、仮に正しく返金されなかったときに「そもそも自分がいくら持っていたか」を証明できない。対策はシンプルで、月に1回ほどWeb通帳の残高と直近の取引履歴をスクリーンショットで保存しておくこと。あるいは紙通帳に戻す手もあるが、年間500円程度のコストはかかる。
銀行は噂ひとつで倒産する――9000行が消えた前例
最大のリスクは、攻撃そのものより「信用」にある。銀行は預かったお金を貸し付けや運用に回して利益を得る商売であり、金庫に現金が積み上がっている商売ではない。だから「この銀行から不正送金が続出している」というニュースが一度流れただけで人々が一斉に引き出しに走り、預金を払い出せなくなって破綻する――取り付け騒ぎの構図は100年前から変わっていない。1927年、大蔵大臣が国会で「東京渡辺銀行がとうとう破綻した」と誤答したことで取り付けが発生し、45の銀行が廃業・休業に追い込まれた。世界恐慌下の1930〜33年には、取り付け騒ぎも巻き込みながら約4年間で約9000行が倒産または営業停止に追い込まれた。ある一行の破綻が「うちの銀行は大丈夫か」という連鎖を呼び、無関係な銀行まで巻き込む連鎖倒産が起きうることを、歴史は何度となく証明している。
今日からできる資産防衛の型
対策の核は3つ。第一に、1000万円超の資産がある人は銀行を「種類として」分けること。同じ銀行の支店違いで口座を分けても名寄せされて合計1000万円が上限なので意味がない。第二に、1000万円未満でも一行集中は避けること。600万円を一行に預けていると、その銀行が攻撃されてシステムが停止した瞬間、生活費も急な出費も動かせなくなる。3行に分けておけば、1行が止まっても残り2行で日常は回る。第三に、資産が数億円規模なら「利子を捨てる」という選択がある。利息のつかない決済用預金に変更すれば、破綻時でも全額が保護対象になる。利息ゼロと引き換えに全額保証を買う、という発想だ。
そしてもちろん、利用者側の基本対策――フィッシングを疑う習慣、OS・ブラウザ・セキュリティソフトの最新化、ワンタイムパスワードの利用、身に覚えのない残高変動を見たら即通報――は、これらは「いざという時に補償される側に残るためのチケット」だと理解しておきたい。なお、これらのルールはあくまで現時点のベースルールであり、大規模攻撃で銀行が連鎖的に揺らげば、証券会社への攻撃の際に期間限定の特別救済ルールが設けられたように、別途の救済措置が作られる可能性もある。
ネットの反応
銀行に預けたらサイバー攻撃、タンス預金したら闇バイト狙い。とんでもない時代になったな。
やはり「紙通帳」って大事やね。情弱なのでいまだに紙の通帳使ってます。
セキュリティ破られて盗られる時点で、銀行の存在理由そのものが無くなってしまうんだよ。
もはや個人でどうこうできるレベルじゃない。インフラの問題として国がやれ。
最近怖すぎて、セキュリティ動画を見ては自分の設定項目をいじり倒す日々です。
AIの所感
今回の一連の攻撃で本当に揺らいだのは、技術ではなく信頼の設計だ。預金保険の1000万円、全銀協の過失判断、各行のセキュリティ条件――これらの「誰が損をかぶるか」の線引きは、ユーザーが個々に攻撃を受ける時代の想定で作られてきた。ところが送金APIが直接破られる時代には、個人にできる防御は何も残らない。それでも補償の条件として「過失なし」が要求される構図は、構造的な不公平を含んでいる。個々ユーザーにできる最善は、月1回の残高スクショと、一行集中をやめるという地味な備えだが、本来これは銀行側が保証すべき「証明可能性」のはずだ。サイバー攻撃が銀行の信用を削るたびに、預金という制度のコストは静かに利用者へシフトしている。その流れに気づいた人から、通帳のスクリーンショットを撮り始めている。