バングラデシュ中央銀行SWIFT不正送金事件から学ぶ金融インフラのセキュリティ

「SWIFTシステムって安全じゃないの？」
「8,100万ドルも盗まれて、なんで止められなかったの？」

チップス

ボス、バングラデシュ中央銀行から8,100万ドルが盗まれたって聞いたでしゅけど…銀行ってもっとガチガチに守られてると思ってたでしゅよ！
SWIFTって国際的な金融通信ネットワークでしゅよね？それが乗っ取られるって、どういうことでしゅか？

ボス

2016年2月、バングラデシュ中央銀行のFederal Reserve Bank of New York口座から、実に8,100万ドルが不正送金された。
攻撃者はSWIFTネットワーク自体ではなく、銀行内部のSWIFT端末に侵入してシステムを改ざんした。
「鍵そのものを盗むのではなく、鍵を使う人間になりすます」。それが、この事件の本質だ。

2016年2月初旬、バングラデシュ中央銀行のニューヨーク連銀口座から、合計9億5,100万ドルを超える送金指示が発信されました。
そのうち8,100万ドルが実際にフィリピンの銀行口座へ振り込まれ、カジノに消えていきました。
この事件は、国際金融インフラそのものが標的になりえるという現実を、世界中のセキュリティ専門家に突きつけました。
攻撃者は精巧なマルウェアを使い、銀行内部のSWIFTソフトウェアを改ざんし、痕跡さえも消し去っていたのです。

本記事を最後まで読むことで、金融インフラを標的とした高度な攻撃の実態と、内部からの不正送金を防ぐための多層防御の考え方が整理できます。
自分の担当システムで同じ失敗を繰り返さないための視点を、ぜひ持ち帰ってください。

8,100万ドルが消えた週末：事件の全体像

バングラデシュ中央銀行SWIFT不正送金事件は、国家規模の標的型攻撃が金融インフラを直撃した、前例のない事件です。
週末というタイミングを巧みに悪用し、複数の国をまたぐ複雑な経路で資金が動かされました。

週末の48時間で実行された大胆な送金指示

事件が動き始めたのは、2016年2月4日（木曜日）のバングラデシュ夜間でした。
攻撃者はバングラデシュ中央銀行のSWIFT端末から、ニューヨーク連銀に対して35件、計9億5,100万ドルの送金指示を発信しました。
フィリピンの週末（土日）と、バングラデシュの週末（金曜日）を組み合わせた日程を選ぶことで、誰も即座に気づけない状況を意図的に作り出したのです。

事件の経緯を、時系列で整理します。

この精巧なタイミング設計が、事件の回収を極めて困難にしました。
バングラデシュが気づいた月曜日には、資金はすでにカジノで現金化されており、追跡はほぼ不可能な状態でした。
「いつ動くか」という時間設計そのものが、攻撃の一部だったのです。

チップス

週末の金曜・土日をうまく利用したでしゅか…！バングラデシュの金曜は休みで、フィリピンは土日で確認できない、って計算されてたんでしゅね！？

ボス

そうだ。攻撃者は標的の国の祝日カレンダーや業務フローまで調査して攻撃日時を選んでいる。
こういう準備の精度が、単なる愉快犯との違いだ。
国家の支援を受けた高度なAPT攻撃の特徴でもある。

スペルミスが止めた9億ドルの強盗

実は、攻撃者が奪おうとした総額は9億5,100万ドルでした。
しかしその大部分は、送金指示書の「スペルミス」によって防がれています。
スリランカへの送金指示で「Foundation」を「Fandation」と誤記したため、ドイツ銀行のルーティングシステムが不審を感じて決済を保留したのです。

止まった取引と成功した取引の差異を、以下にまとめます。

人間のうっかりミスが、意図せず最大規模の損害を防いだという皮肉な結果です。
システム上の問題を偶然が補った形であり、セキュリティ対策として再現性はありません。
「今回は偶然止まったが、次は止まらない」という視点が、この事件から学ぶべき出発点です。

SWIFTシステムとは何か：国際金融の「動脈」が狙われた理由

この事件を深く理解するには、SWIFTがどのようなシステムであり、なぜ攻撃者の標的になったのかを知る必要があります。
SWIFTは単なるメッセージングサービスではなく、国際金融の基盤そのものです。

SWIFTの仕組みと国際金融における役割

SWIFT（Society for Worldwide Interbank Financial Telecommunication）は、200カ国以上の11,000以上の金融機関が接続する、国際金融メッセージングネットワークです。
1973年に設立され、銀行間の送金指示・決済情報を標準化されたメッセージで安全に伝達する役割を担っています。
1日あたり数千万件の取引メッセージが処理されており、国際貿易・外貨決済・貿易金融の裏側を支える、文字通り「金融の動脈」です。

SWIFTの特徴を、以下のポイントで整理します。

重要な点は、SWIFTネットワーク自体は侵害されていないという事実です。
攻撃者が突いたのは、各銀行内部のSWIFT端末（つまり「ネットワークへの接続口」）でした。
強固な金庫の鍵を直接破るのではなく、その鍵を持つ担当者に化ける手口といえます。

チップス

つまりSWIFT自体は安全でも、それを使う銀行の端末が乗っ取られたってことでしゅね。
国際的に信頼されてるシステムを踏み台にされると、受け取る側の銀行も疑いにくいでしゅよね…。

ボス

そこが本件の巧妙さだ。
受信側のニューヨーク連銀やRCBC銀行から見れば、正規のSWIFTメッセージが届いているように見える。
信頼されたチャネルを悪用する攻撃は、「アイデンティティの詐称」という観点からも重要な教訓だ。

なぜバングラデシュ中央銀行が狙われたのか

バングラデシュ中央銀行が標的に選ばれた背景には、セキュリティ対策の明確な脆弱性がありました。
後の調査で、同行のネットワーク環境には複数の初歩的なセキュリティ上の問題が確認されています。
攻撃者はそれらを事前に把握した上で、標的として選定したとみられています。

判明したセキュリティ上の問題点は、以下の通りです。

これらの問題は、中央銀行という重要インフラが抱えていた脆弱性として、国際社会に大きな衝撃を与えました。
SWIFTに接続するという「格」に見合うセキュリティ水準が、各加盟機関に徹底されていなかった実態が露呈した瞬間でした。
この事件を契機にSWIFTは「顧客セキュリティプログラム（CSP）」を2017年に導入し、加盟機関への必須セキュリティ要件を大幅に強化しています。

攻撃の全貌：侵入からSWIFT改ざん・痕跡消去まで

この事件で特に注目すべきは、攻撃の精度と段階的な実行計画です。
単純な不正アクセスではなく、内部偵察から痕跡消去まで、高度に組織された一連の作戦として実行されました。

内部侵入と長期にわたる偵察活動

攻撃者は不正送金を実行する数カ月前から、バングラデシュ中央銀行のネットワーク内部に潜伏していたとされています。
マルウェアは求人情報メールに添付されたファイルを通じて侵入したと推定されており、標的型フィッシング（スピアフィッシング）が初期侵入経路だった可能性が高いとされています。
侵入後、攻撃者はSWIFT端末へのアクセス方法やシステム構成を慎重に調査し、本番実行の準備を進めていました。

侵入から本番実行までの攻撃フェーズは、以下のように整理できます。

特に巧妙だったのは、「痕跡消去」まで攻撃の設計に組み込まれていた点です。
SWIFTクライアントが接続するデータベースに直接アクセスし、送金完了の記録を削除することで、担当者がシステムを開いても異常が見えない状態にしていました。
「起きたことを消す」という後工程まで計算されていた、高度な攻撃設計といえます。

チップス

印刷ログまで改ざんするでしゅか…！SWIFTの印刷って確認に使うんでしゅよね？それを偽造されたら、担当者が見ても気づけないでしゅ！

ボス

正確にはSWIFTのプリンターログだ。
担当者は毎朝プリントアウトで送受信記録を確認する運用をしていたが、攻撃者はそのプリントが正しく見えるように操作した。
運用の「確認ルーティン」を逆用された形だ。それが最も怖い。

フィリピンのカジノで洗浄された資金

フィリピンRCBC銀行（リサール・コマーシャル・バンキング・コーポレーション）の4口座に着金した8,100万ドルは、すでに正月休みを控えた週末の時点で急速に動かされました。
資金はカジノチップとして投入・換金されることで、マネーロンダリングが実行されました。
フィリピンではカジノ取引がマネーロンダリング防止法の適用外だった（2016年当時）という制度的な隙が、意図的に利用されています。

フィリピン当局の調査で判明した資金の流れは、以下の通りです。

攻撃者は「送金先の選び方」においても精密な計算をしていました。
カジノによる現金化が可能な国、かつAML規制の盲点がある管轄地域を送金先に選ぶことで、資金回収を構造的に不可能にしていたのです。
サイバー攻撃とマネーロンダリングを一体として設計した、組織的犯罪の典型例です。

Lazarusグループとサイバー金融犯罪の実態

バングラデシュ中央銀行事件を語る上で欠かせないのが、北朝鮮との関連性です。
後の捜査・研究により、本件は国家支援を受けたAPT（高度持続的脅威）グループの犯行と結論づけられています。

北朝鮮Lazarusグループの関与が示すもの

2018年、米国司法省は北朝鮮人民軍偵察総局（RGB）に所属するPark Jin-hyok（朴鎮赫）を本件を含む複数のサイバー攻撃に関与したとして訴追しました。
Lazarusグループは2014年のSony Pictures Entertainment攻撃や2017年のWannaCryランサムウェア攻撃にも関与したとされる、北朝鮮系APTの中核組織です。
制裁による外貨獲得手段が限られる北朝鮮が、サイバー犯罪を「国家収入源」として活用している実態が、本件で浮き彫りになりました。

Lazarusグループの特徴として指摘されているポイントは、以下の通りです。

本件の帰属特定にはBAE Systems、Symantec、Kaspersky Labなど複数のセキュリティ企業も関与し、使用されたマルウェアコードの類似性から同一グループの犯行と判断されています。
「国家がサイバー攻撃で外貨を稼ぐ」という構図は、本件以降も繰り返されており、金融機関が直面する脅威の性質を根本から変えた事件といえます。

チップス

国家が銀行強盗をサイバーでやる時代でしゅか…。軍事組織が指揮してるって、普通のサイバー犯罪者とは次元が違う話でしゅよね。防ぎようがないんでしゅか？

ボス

「防ぎようがない」は間違いだ。
国家支援のAPTが相手でも、侵入経路（フィッシング）・横展開・痕跡消去の各段階には「止められる可能性」があった。
どこかの段階で検知・遮断できていれば、結果は違っていた。多層防御の意味がそこにある。

本件を踏まえて続いた類似攻撃

バングラデシュ中央銀行事件の後、SWIFTシステムを悪用した類似の不正送金事件が複数報告されています。
手口の公開によって後続の攻撃が増えるというパターンは、本件でも繰り返されました。
Lazarusグループをはじめとするアクターが、同様の手法で世界の金融機関を標的にし続けていることが、複数の調査レポートで確認されています。

本件以降に報告された類似事例の概要です。

これらの事例は、バングラデシュ中央銀行事件を「一回限りの出来事」ではなく、組織的かつ継続的な攻撃シリーズの一部として見なければならないことを示しています。
SWIFTが2017年以降に導入した顧客セキュリティプログラム（CSP）は、こうした連続的な攻撃に対する金融業界全体での応答でした。

セキュリティエンジニアへの教訓：金融インフラを守るために

バングラデシュ中央銀行事件は、技術・運用・組織体制の3つの層にわたる教訓を残しています。
金融機関のセキュリティに限らず、重要システムを守る立場であれば誰もが参照すべき事例です。

ネットワーク分離と最小権限原則の徹底

本件の攻撃者がSWIFT端末に到達できた根本原因のひとつは、内部ネットワークが十分にセグメント化されていなかったことです。
SWIFT端末のような極めて重要なシステムは、一般業務ネットワークから物理的・論理的に分離することが必須です。
「侵入されることを前提に、被害範囲を最小化する設計」。これが多層防御の核心です。

ネットワーク分離と権限管理において、最低限実装すべき対策は以下の通りです。

本件では10ドルの廉価スイッチと、ファイアウォール未設置という状態でSWIFTに接続していました。
重要インフラへのアクセス経路には、それにふさわしいセキュリティ投資が不可欠です。
コスト削減の対象として見なすべきではない領域を、明確に定義することが組織レベルの課題でもあります。

チップス

10ドルのスイッチで中央銀行がSWIFTに繋がってたって、コスト削減にも限度があるでしゅよ…！
重要なシステムほど、守りにお金をかけないといけないでしゅね。

ボス

その通りだ。
セキュリティ対策は「保険」だ。事故が起きてから保険の意味を知っても遅い。
「守るべきものの価値」に見合った投資をするのが、正しいリスクマネジメントというものだ。

異常検知と振る舞い分析による早期発見

本件で早期検知が失敗した大きな要因は、SWIFT端末から発信される送金指示の「振る舞い」を監視する仕組みがなかったことです。
金額の異常、送金先の国・口座、送金指示の時間帯など、複合的な観点から「通常とは異なる送金」を検知するルールが機能していれば、事態は変わっていた可能性があります。

SWIFT関連システムに組み込むべき異常検知の観点は、以下の通りです。

「週末・休日の深夜に高額の国際送金が発生する」というパターンは、それだけで十分に異常なシグナルです。
自動化されたルールが機能していれば、人間が気づかなくても止められる可能性がありました。
検知ルールは「過去の攻撃パターン」から学ぶことができます。本件はその典型的な教材といえます。

信頼チェーンの検証と内部統制の設計

本件が示した最大の教訓は、「信頼されたチャネルからのメッセージであっても、それ自体を疑う仕組みを持つ必要がある」という点です。
SWIFTという信頼されたネットワーク経由のメッセージだからといって、送金を自動的に実行する設計は、この攻撃の前提条件になっていました。
重要な金融取引においては「送信元が正規のSWIFTメッセージである」ことと「その送金指示が正当な業務から発出された」ことは、別に検証されるべきです。

信頼チェーンを強化するための設計原則を、以下に整理します。

本件では、SWIFTのプリントアウトまで改ざんされていたため、担当者が日常の確認作業を行っても異常を発見できませんでした。
「確認する手段そのものが改ざんされている」というシナリオまで想定した設計が、高度なAPT攻撃に対抗するために必要な視点です。
「何を信頼の根拠にするのか」を問い直すことが、ゼロトラストアーキテクチャの出発点でもあります。

まとめ

バングラデシュ中央銀行SWIFT不正送金事件は、国家支援を受けたAPTグループが金融インフラを標的にした場合の脅威の深刻さを、世界に突きつけました。
攻撃者は数カ月の偵察、精巧なSWIFTソフトウェア改ざん、痕跡消去、そして制度的盲点を利用したマネーロンダリングまで、一体として設計した作戦を実行しました。
皮肉にも被害を最小化したのはセキュリティ対策ではなく、攻撃者のスペルミスという偶然でした。

本事件が残した教訓を、3点に整理します。

「自分の担当するシステムに侵入された時、攻撃者は何をするか」という視点で設計を見直すことが、高度な脅威に備える第一歩です。
セキュリティエンジニアとして、本件を自分事として読み解いてみてください。

チップス

ボス、今日はたくさん勉強になったでしゅ！スペルミスで助かった部分があったとはいえ、ちゃんと設計で防げる話でしゅもんね。
ネットワーク分離とログの保護、今の仕事でも意識しますでしゅ！

ボス

少しは分かってきたな。
「偶然に頼る設計」は設計とは呼ばない。意図して止められる仕組みを積み重ねることが、セキュリティエンジニアの仕事だ。
今日学んだことを、明日の現場に活かせ。