サービスプロバイダーの脆弱性を悪用した3,000万ユーロ超の銀行詐欺でハッカーらが逮捕された

ブラジルでサイバー犯罪者4人が逮捕され、欧州ではさらに3人が起訴された。彼らはサービスプロバイダーの脆弱性を悪用し、コメルツバンクの顧客の銀行口座から資金を引き出した疑いが持たれている。

ブラジルとドイツの連邦警察当局が捜査したこの窃盗事件は、2023年11月の4日間にわたって発生し、約3,000万ユーロ（3,460万ドル）の損害をもたらした。

ブラジル連邦警察もドイツ連邦刑事局（BKA）も、被害を受けたドイツの金融機関の名称を明らかにしなかったが、ブラジルのメディアは、年間売上高が111億ユーロ（128億ドル）を超える欧州の大手金融機関であるコメルツバンクであると特定した。

同銀行は声明の中で、顧客が不正行為の影響を受けたことを認めたものの、顧客に金銭的な損失は生じていないと述べた。

「この詐欺事件は把握しており、2023年に遡ります。サービスプロバイダー側の技術的な問題により、顧客口座から不正な口座引落が行われました。顧客に金銭的な損失は生じていません。当行は当局と緊密かつ広範に協力しました」と、コメルツ銀行の広報担当者は『Bleeping Computer』に語った。

ドイツ当局によると、ハッカーらは、ある金融機関の決済・取引処理システムにおいて、不具合のあるソフトウェア更新によって生じた脆弱性を悪用したとのことです。

2023年11月、攻撃者らはドイツ国内のさまざまなオンラインバンキング口座から多数の不正引き出しを行い、資金の出所を隠蔽するために構築された大規模なネットワークを通じて、盗んだ資金をブラジルへ送金した。

当局によると、資金の大部分はブラジルで引き出され、残りの一部は欧州の4カ国で現金化されたという。

警察は欧州でさらに3人の容疑者を特定しており、これらの人物はスペインとブルガリアの法執行当局によって、それぞれの国で起訴される見込みだ。

捜査当局の調査によると、攻撃者らは、中継口座、企業、決済機関、仮想資産プラットフォーム、および受益者の同意なしに発行された決済カードを通じて、不正に得た資金を移動・隠蔽していたことが判明した。

昨日、ブラジル連邦警察はドイツ連邦刑事局（BKA）の支援を受け、「オペレーション・クローネン」を開始し、ブラジル国内の7都市で21件の捜索・押収令状を執行した。

この一斉捜査の結果、リオデジャネイロ、グアルーリョス、ゴイアニア、カラピクイバの各都市で、予防拘禁令に基づき4人の容疑者が逮捕された。

ブラジル当局の調査によると、容疑者の1人は2024年の選挙に出馬しており、不正に得た資金の一部を自身の選挙運動の資金として流用していたことが判明した。

また、ブラジルの連邦裁判所は、最大1億600万レアル（2,240万ドル）相当の金融資産、車両、不動産の差し押さえを命じた。

逮捕された容疑者らは、電子詐欺による加重窃盗、犯罪組織への参加、マネーロンダリングなど、さまざまな容疑で起訴される見通しだ。