ドイツ銀行が、委託先（第三者企業）を経由した情報流出を確認しました。ランサムウエア（身代金要求型ウイルス）集団「Unsafe」がデータへのアクセスを主張しており、金融機関を狙うサプライチェーン攻撃の脅威が改めて浮き彫りになっています。
狙われたのは委託先の基盤
ドイツ銀行によると、今回の流出は同行自身のネットワークが侵入されたものではなく、営業パートナー向けのマーケティング・インセンティブ基盤を運用していたドイツ国内の委託先企業が標的になったものです。攻撃者を名乗る集団は証拠として複数のデータベースからの抽出結果を公開しており、その中には従業員のメールアドレス、パスワードのハッシュ値、住所、社内データベースの記録が含まれているとされます。
顧客情報の流出は現時点で不明
もっとも、セキュリティ研究者は、公開されたサンプルはドイツ銀行の従業員に関するデータとみられるものの、顧客情報まで漏えいしたかどうかは現時点で判断できないとしています。ドイツ銀行は委託先で起きたサイバー事案を調査していると認めています。
「二重恐喝」で再活発化した集団
関与を主張する「Unsafe」は、2022年12月に初めて確認された後、2024年から2025年にかけて活動を潜め、2026年に再び活発化した集団です。ウイルスを配布する仕組みを他者に貸し出す「サービス型ランサムウエア（RaaS）」の形態をとり、データを暗号化するだけでなく、盗んだ情報の公開をちらつかせて金銭を要求する「二重恐喝」の手口を用いるとされます。
日本への影響
今回の事案は、日本の金融機関や企業にとっても直接の教訓となります。攻撃の入り口が自社ではなく委託先だった点が重要で、業務を外部に委ねるほど、こうしたサプライチェーン（供給網）経由のリスクは高まります。日本でも近年、保険会社や事業会社で委託先を経由した情報流出が相次いでおり、金融庁は委託先管理の徹底を求めています。企業は取引先のセキュリティ体制まで含めた点検が求められます。
個人の読者にとっても対岸の火事ではありません。メールアドレスやパスワードのハッシュ値が流出すると、それを手がかりにした不正ログインや、実在の企業をかたるフィッシング（偽メールで情報を盗む手口）の標的になりやすくなります。複数のサービスで同じパスワードを使い回さないこと、二要素認証を設定すること、そして金融機関を装う不審なメールに注意することが、いま一人ひとりに求められる対策だといえます。
まとめ：委託先を狙うサプライチェーン攻撃は誰にとっても身近な脅威です。日本の読者も、パスワードの使い回しをやめ、二要素認証で身を守りたいところです。
出典:
Cybernews – Deutsche Bank confirms third-party breach
Computing – Deutsche Bank probes supplier cyber incident
Photo: FlyD / Unsplash
