概要
ドイツの大手銀行コメルツ銀行の決済・取引処理システムに存在した脆弱性を悪用し、顧客のオンラインバンキング口座から約3000万ユーロ(約3460万ドル)を不正に引き出したとする大規模詐欺事件で、ブラジル連邦警察とドイツ連邦刑事庁(BKA)による合同捜査「Klonen作戦」の結果、ブラジルのリオデジャネイロ、グアルーリョス、ゴイアニア、カラピクイーバの4都市で実行役とみられる4人が逮捕された。あわせてスペインとブルガリアでも3人が起訴されている。コメルツ銀行は「顧客への金銭的被害は発生しておらず、当局とは緊密かつ全面的に協力した」とコメントしている。
手口と技術的な詳細
捜査当局によると、犯行グループはコメルツ銀行の決済処理システムに導入されたソフトウェア更新に起因する脆弱性を突き、ドイツ国内のオンラインバンキング口座から無許可の口座引き落とし(direct debit)を大量に発生させた。2023年11月に4日間にわたって実行されたこの不正送金により、資金はブラジル国内に構築された送金ネットワークを経由し、出所を隠蔽する形で移動させられた。具体的には、中継用の口座や複数の企業、決済事業者、仮想資産(暗号資産)取引プラットフォーム、さらには不正に発行した決済カードなどを組み合わせ、資金洗浄の経路を複雑化していたという。容疑者らには加重電子詐欺・窃盗、犯罪組織への参加、資金洗浄の罪状が科されている。
捜査の経緯と押収資産
事件発覚後、ブラジル連邦警察とドイツBKAは長期にわたり合同で捜査を進め、2026年8月に「Klonen作戦」として摘発に踏み切った。ブラジルの裁判所は容疑者らの金融資産、車両、不動産について最大1億600万レアル(約2240万ドル)相当の差し押さえを命じている。捜査の過程では、容疑者の1人が2024年の選挙に立候補した際、この不正資金の一部を選挙運動の資金として利用していたことも判明しており、犯罪収益がさまざまな形で消費・投資されていた実態が浮き彫りになった。
今後への示唆
今回の事件は、銀行本体のセキュリティだけでなく、決済処理を担う周辺システムやサードパーティのソフトウェア更新プロセスが金融犯罪の侵入口となり得ることを改めて示した。コメルツ銀行が顧客への被害を全額補填し損失を出さなかった点は評価される一方、国境を越えた資金洗浄ネットワークの摘発には複数国の法執行機関による長期の協力が不可欠であることも浮かび上がった。今後も同様の手口を用いた攻撃が他の金融機関を標的にする可能性があり、決済インフラのサプライチェーン全体を対象としたセキュリティ監査の重要性が一層高まっている。