Credit Mutuel Arkeaがサイバー攻撃を確認、ZachXBTは被害額を1億3300万ドル超と推定

水曜日、フランスの銀行Credit Mutuel Arkeaは、自社の口座から不正送金を可能にしたサイバー攻撃を確認した。オンチェーン調査員のZachXBTは、被害額を1億3300万ドル超と推定しているが、同行はこの数字を確認していない。

ブルターニュに拠点を置くこの金融機関は、発表で、インシデントは制御下にあり、業務は再開しつつあり、顧客資産に影響はないと述べた。また、予防措置として一部の取引を停止した。

同行はウェブサイト上で、公開された翻訳（Reutersによる）で、次のように述べた。「このインシデントは（顧客の）資産に影響を与えておらず、一部の送金の実行に遅延を引き起こしただけだ。」

続くQ&A文書で、Credit Mutuel Arkeaは、攻撃者がサービスプロバイダーのプラットフォームを介して銀行に直接アクセスしたと説明した。同行によると、攻撃者は銀行自身の口座を使って他行への送金を開始し、それにより専門プラットフォームを通じて資金を暗号通貨に変換できた可能性がある。

同行は、その連合会や子会社の顧客口座は関与していないと述べた。また、オンラインバンキング部門であるFortuneoを通じて侵害が発生したとするフランスメディアの報道を否定し、この攻撃を人為的ミスではなく「外部からの巧妙な攻撃」と説明した。

Credit Mutuel Arkeaハッキングの規模

同行はまだ最終的な数字を明らかにしていない。1億1800万ユーロ（1億3300万ドル）が持ち出されたのかとの質問に対し、同行はその数字を確認できないが、「規模の大きさを裏付けることしかできない」と述べた。

同行は、資金の一部は凍結されており、残りの回収に向けた追加措置が取られていると述べた。また、関与した金額は、財務の安定性や健全性を危険にさらすには「絶対に」十分なものではないと付け加えた。

AFPは、同行の暫定見積もりでは攻撃の規模はおよそ1億ユーロだと報じた。水曜日の早い段階で、Reutersは、同行が損失は1億3300万ドル未満だと述べたと報じた。広報担当者は通信社に「最終的な数字を出すにはまだ時期尚早だ」と語った。

ZachXBTの調査結果

ZachXBTは当初、月曜日に被害者を特定せずにこのインシデントを指摘した。自身のTelegramチャンネルで、EUの事業体が11月1日に複数の中央集権型取引所の口座から1億600万ドル超を失ったとみられていると書いた。資金はUSDCとUSDTとして引き出された。また、資金はその後etherに交換され、複数のチェーンに転送されたと付け加えた。

その後の更新で、同氏は取引所からの引き出しでさらに2700万ドル以上を発見し、合計を1億3300万ドル超に引き上げたと報告した。続く投稿で、Credit Mutuel Arkeaが被害者とみられると特定した。同氏は、攻撃は「複数日にわたって発生した」と書き、店頭取引を考慮すると実際に盗まれた金額はより多いと疑っている。

同行は同氏の推定や時系列を裏付けていない。また、攻撃がいつ始まったのか、誰が攻撃を行ったのか、データが盗まれたのかどうかも開示していない。Credit Mutuel Arkeaは、攻撃の発生源と実行方法を調査するため、司法当局および警察当局と協力している。同行は、侵害を検知した際に監督当局に通知したと述べた。

同行はさらに、Credit Mutuel Arkeaのハッキングを受けて、フィッシング詐欺の可能性について顧客に注意を促した。

Credit Mutuel Arkeaは、ブルターニュと南西部のCredit Mutuel連合会を包含し、より大きなCredit Mutuelグループの一部である。Reutersによると、同社は580万人の顧客と2115億ユーロ（2380億ドル）の資産を有する。AFPは、同社が上半期に2億3000万ユーロの純利益を計上したと報じた。

Credit Mutuel Arkeaのハッキングは、記録的な63億4000万ドルのBinanceハッキングの1週間足らず後に発生した。このハッキングはブロックチェーン分析企業により北朝鮮によるものとされている。ZachXBTは最初の投稿で、このインシデントは北朝鮮のLazarus Groupによって実行されたものではないとの高い確信を表明した。ブラジルのMercado Bitcoinも、セキュリティインシデントを受けて今週、入出金を停止した。

同行が資金をどれだけ回収できるのか、そしてCredit Mutuel Arkeaのハッキングによる最終的な損失がいくらになるのかは、依然として不透明だ。