バングラデシュ銀行強盗

バングラデシュ銀行強盗事件は、俗にバングラデシュ銀行サイバー強盗事件とも呼ばれ、^{[1] 2016年2月に発生した窃盗事件である。}セキュリティハッカーによりSWIFTネットワーク経由で35件の不正な指示が出され、バングラデシュの中央銀行であるバングラデシュ銀行のニューヨーク連邦準備銀行の口座から10億米ドル近くが違法に送金された。35件の不正な指示のうち5件で1億100万米ドルの送金が成功し、8100万米ドルがフィリピンに、 2000万米ドルがスリランカに送金されたことが追跡された。ニューヨーク連邦準備銀行は、指示のスペルミスによる疑いのため、残り30件、総額8億5000万米ドルの取引をブロックした。^[2] 2018年現在、フィリピンに送金された8100万米ドルのうち回収されたのは約1800万米ドルのみで、^[3]スリランカに送金された資金はその後すべて回​​収されている。フィリピンに送金された資金のほとんどは、企業や法人ではなく、個人が保有する4つの個人口座に送金された。

他の多くの国立銀行と同様に、バングラデシュの中央銀行であるバングラデシュ銀行は、バングラデシュの外貨準備を預け、維持し、送金するためにニューヨーク連邦準備銀行に口座を開設しています。経済成長を続けるバングラデシュの外貨準備高は、数十億米ドルに達することがよくあります。2020年9月現在、バングラデシュの外貨準備高は390億米ドルです。^[4]国際銀行間金融通信協会（SWIFT）ネットワークは、通貨の引き出し、送金、または預け入れのために外貨口座を持つ銀行と通信するために使用されています。

2016年にバングラデシュ銀行に起きたサイバー攻撃は、この種の攻撃としては初めてのものではない。2013年にはバングラデシュのソナリ銀行もハッカーの標的となり、25万ドルが盗まれた。

どちらの事件でも、犯人は標的となった銀行の内部関係者の協力を得て、SWIFT国際決済ネットワークへの銀行のアクセスの弱点を突いて攻撃を仕掛けた疑いがある。^{[5] [6]}

犯人らは、バングラデシュ中央銀行のセキュリティの弱点（一部の職員の関与も含む）を利用し、^[7]ニューヨーク連邦準備銀行のバングラデシュ銀行口座から9億5100万ドルを盗もうとした。盗難は2016年2月4日から5日の間、バングラデシュ銀行の事務所が週末で 閉まっていたときに発生した。

犯人はバングラデシュ銀行のコンピュータ ネットワークに侵入し、送金方法を観察し、銀行の支払い送金の認証情報にアクセスした。犯人はこれらの認証情報を使用して、ニューヨーク連邦準備銀行への約 30 件のリクエストを承認した。これらのリクエストは、フィリピンとスリランカの口座に資金を送金するためのものだった。

8億5,100万米ドル相当の30件の取引が銀行システムによって職員による調査のためにフラグ付けされたが、5件の要求が認められた。スリランカへの2,000万米ドル（後に回収）^{[8] [9]}と、2016年2月5日に東南アジアの国の銀行システムに入り、フィリピンに失われた8,100万米ドルである。この資金はカジノを通じて洗浄され、一部は後に香港に送金された。

ストレーツ・タイムズ紙に掲載された報道によると、捜査官らは犯罪者が攻撃にDridexマルウェアを使用したと疑っている。 ^[10]

フィリピンに送金された資金は、リサール商業銀行（RCBC）の5つの別々の口座に預けられたが、後に口座は偽名であったことが判明した。資金はその後、外国為替ブローカーに送金され、フィリピンペソに両替され、RCBCに戻され、中国系フィリピン人ビジネスマンの口座にまとめられた。^{[11] [9]}両替は2016年2月5日から13日にかけて行われた。^[12]また、関係する4つの米ドル口座は、2015年5月15日にはRCBCに開設され、ニューヨーク連邦準備銀行からの送金が行われた2016年2月4日まで手つかずのままであったことが判明した。^[12]

2016年2月8日、春節の期間中、バングラデシュ銀行はSWIFTを通じてRCBCに、支払いを停止し、資金を返金し、資金がすでに送金されている場合は「資金を凍結して保留する」ように通知した。春節はフィリピンでは休業日であり、同様の情報を含むバングラデシュ銀行からのSWIFTメッセージは、わずか1日後にRCBCに届いた。この時点で、約5,815万ドルの引き出しが、RCBCのジュピターストリート（マカティ市）支店ですでに処理されていた。^[12]

2月16日、バングラデシュ銀行総裁は、 2016年2月4日にRCBCに有利なSWIFT支払指示が不正であるとして、フィリピン中央銀行に8100万ドルの資金の回収への支援を要請した。^[12]

ハッカーらはスリランカへの2000万ドルの送金を、スリランカに拠点を置く有限会社であるシャリカ財団に送金することを意図していた。ハッカーらは資金送金の要請で「Foundation」の綴りを間違え、「Fandation」または「Fundation」と綴った。この綴りの誤りは、送金元銀行であるドイツ銀行の疑いを招き、同銀行はバングラデシュ銀行に説明を求めた後、問題の取引を停止した。^{[8] [13] [14]}

スリランカに拠点を置くパンアジア銀行が当初この取引に注目し、ある職員はスリランカのような国にとっては取引が大きすぎると指摘した。パンアジア銀行は異常な取引をドイツ銀行に報告した。スリランカの資金はバングラデシュ銀行によって回収された。^[8]

当初、バングラデシュ銀行はシステムが侵害されたかどうか確信が持てなかった。中央銀行総裁は、セキュリティインシデント対応、脆弱性評価、修復を主導するために、米国に拠点を置く企業であるワールドインフォマティクスサイバーセキュリティ社と契約した。ワールドインフォマティクスサイバーセキュリティ社は、調査のためにフォレンジック調査会社マンディアント社を招聘した。これらの調査員は、システムが侵害されたことを示唆するハッカーの「足跡」とマルウェアを発見した。調査員はまた、ハッカーはバングラデシュ国外に拠点を置いていたと述べた。バングラデシュ銀行はこの事件に関して内部調査を開始した。^[8]

バングラデシュ銀行のフォレンジック調査により、2016年1月頃に銀行のシステム内にマルウェアがインストールされたことが判明し、銀行の国際決済および資金送金の運用手順に関する情報が収集されました。^[12]

捜査では、2013年にソナリ銀行で起きた未解決のハッキング事件も調査された。この事件では、身元不明のハッカーによって25万ドルが盗まれた。報道によると、2016年の中央銀行ハッキング事件と同様に、この盗難事件でもSWIFT国際決済ネットワークを使用した不正送金が使用されていた。この事件は、2016年にバングラデシュ中央銀行強盗事件が疑わしいほど類似するまで、バングラデシュ警察当局によって未解決事件として扱われていた。^[15]

フィリピンの国家捜査局（NBI）は捜査を開始し、違法資金のマネーロンダリングで重要な役割を果たしたとされる中国系フィリピン人について調査した。NBIは、同国のマネーロンダリング対策協議会（AMLC）を含む関連政府機関と連携している。AMLCは2016年2月19日、ジャンケット運営者と関係のある銀行口座の捜査を開始した。^[12] AMLCは、この事件に関連して、RCBC支店長と5人の匿名の人物に対して、司法省にマネーロンダリングの告訴を行った。 ^[16]

フィリピン上院の公聴会は2016年3月15日に開催され、マネーロンダリング防止法に関するブルーリボン委員会および議会監視委員会の委員長であるテオフィスト・ギンゴナ3世上院議員が主導した。 ^[17]その後、非公開の公聴会が3月17日に開催された。^[18]フィリピン娯楽賭博公社（PAGCOR）も独自の調査を開始した。^[8] 2016年8月12日、RCBCはフィリピン中央銀行（BSP）が課した10億ペソの罰金の半分を支払ったと報じられた。^[19]その前に、銀行は取締役会を再編し、独立取締役の数を4人から7人に増やした。^[20]

2019年1月10日、RCBCの元マネージャーであるマイア・サントス・デギートは、マカティ市地方裁判所でマネーロンダリングの8件の罪で有罪判決を受け、各罪で懲役4年から7年の刑を言い渡された。^[21] 2019年3月12日、RCBCはバングラデシュ銀行を相手取り、「RCBCの名誉、評判、イメージを破壊することを目的とした公の誹謗中傷、嫌がらせ、脅迫に訴えて原告RCBCから金銭をゆすろうとする大規模な策略と計画」に着手したとして訴訟を起こした。^[22]

2023年2月6日、控訴裁判所第一部はデギートの控訴を棄却し、2019年のマカティ市地方裁判所の有罪判決を支持した。^[23]

2024年2月29日のバングラデシュ銀行強盗事件の判決で、ニューヨーク州最高裁判所は、リサール商業銀行と被告のイスマエル・レイエス、ブリジット・カピニャ、ロムアルド・アガラド、ネストル・ピネダに対する3つの訴因（横領、横領幇助、横領共謀）を、人的管轄権の欠如を理由に棄却した。しかし、同裁判所は、8100万ドルのサイバー強盗に関するバングラデシュ銀行の訴訟については、受け取った金の返還を含む他の理由で訴訟の続行を許可した。^[24]

ファイア・アイのマンディアント・フォレンジック部門とワールド・インフォマティクス・サイバー・セキュリティは、どちらも米国を拠点とする企業で、このハッキング事件を調査した。捜査官によると、犯人がバングラデシュ銀行の内部手順に精通していたのは、おそらく銀行員をスパイすることで得たものと思われる。米連邦捜査局（FBI）は、捜査官が少なくとも1人の銀行員が共犯者として行動していたことを示す証拠を発見したと報告した。FBIはまた、バングラデシュ銀行のコンピュータシステムを操作するハッカーを支援した可能性のある人物がさらに数人いることを示唆する証拠もあると主張した。^[25]バングラデシュ政府は、盗まれた資金を取り戻すためにニューヨーク連邦準備銀行を訴えることを検討している。^[8]

米国の連邦検察官は、北朝鮮政府と窃盗事件の関連の可能性を明らかにした。^[26]この報告書によると、米国検察官は、窃盗事件は北朝鮮政府の支援を受けた犯罪者によって行われたと疑っている。報告書はまた、フィリピンに流用された資金の移転を手助けした「疑惑の中国人仲介人」も起訴に含まれると述べている。^[27]

シマンテックやBAEシステムズなど一部のセキュリティ企業は、世界で最も活発な国家支援ハッカー集団の一つである北朝鮮を拠点とするラザルス・グループが攻撃の背後にいる可能性が高いと主張した。彼らは、バングラデシュの強盗で使用された手法と、 2014年のソニー・ピクチャーズ・エンタテインメントへのハッキングなど他の事件の手法との類似点を挙げている。米当局もこのハッキングを北朝鮮によるものとしている。サイバーセキュリティの専門家は、2017年5月に世界中で何十万台ものコンピュータに感染したWannaCryランサムウェア攻撃の背後にもラザルス・グループがいたと述べている。 ^[28]

サイバーセキュリティ・インフラセキュリティ庁は「FASTCash 2.0: 北朝鮮のビーグルボーイズによる銀行強盗」という警告を発表し、2016年に起きたバングラデシュ銀行へのハッキングはビーグルボーイズによるものだと主張した。同庁は、ビーグルボーイズは北朝鮮政府の偵察総局傘下の脅威アクターグループであり、2014年から活動していると主張した。^[29]

米国国家安全保障局のリチャード・レジェット副局長も、「ソニーの関係者とバングラデシュの銀行関係者とのつながりが正しいとすれば、それは国家が銀行強盗を行っているということを意味する」と述べたと伝えられている。^[30]

米国は、北朝鮮のコンピュータプログラマー、パク・ジンヒョク^{[31]をバングラデシュ銀行のハッキングの罪で起訴した。このハッキングは平壌政権の利益のために行われたとされている。このプログラマーは、}ワナクライ2.0ウイ​​ルスや2014年のソニー・ピクチャーズへの攻撃にも関与したとして起訴されている。^[32]

コンピュータセキュリティ研究者は、この盗難を他の11件の攻撃と関連付け、北朝鮮が攻撃に関与していたと主張している。これが事実であれば、国家主体がサイバー攻撃を使用して資金を盗んだ最初の既知の事件となる。^{[33] [34]}

リサール商業銀行（RCBC）は、この事件に関係するRCBC支店の違法行為を容認しないと述べた。RCBCの社長ロレンゾ・V・タン氏は、この件に関して銀行はマネーロンダリング対策協議会およびフィリピン中央銀行に協力していると述べた。 ^[35]タン氏の法律顧問は、RCBCジュピターストリート支店長に対し、マネーロンダリング詐欺に使用されたとされる偽の銀行口座について説明を求めている。^[36]

RCBCの取締役会も、マネーロンダリング詐欺への同銀行の関与について別途調査を開始した。RCBCのロレンゾ・V・タン頭取は、当局による事件捜査のため無期限の休職を申請した。^{[37] [38]} 2016年5月6日、銀行の内部調査で不正行為がなかったにもかかわらず、タン頭取は事件の「完全な道義的責任を取る」ためRCBC頭取を辞任した。^{[39] [40]} RCBCの創設者アルフォンソ・ユーチェンコの娘ヘレン・ユーチェンコ・ディーが銀行の運営を引き継ぐ。銀行はまた、強盗事件への関与について国民に謝罪した。

バングラデシュ銀行総裁のアティウル・ラーマン氏は、フィリピンのRCBC職員による中央銀行強盗とその後の資金洗浄の捜査の最中に辞任した。同氏は2016年3月15日にシェイク・ハシナ首相に辞表を提出した。辞任が公表される前に、ラーマン氏は国のために辞任すると述べた。^[41]辞任後、ラーマン氏はサイバーセキュリティの脆弱性を1年前に予見し、銀行のファイアウォール、ネットワーク、および全体的なサイバーセキュリティを強化するためにアメリカのサイバーセキュリティ会社を雇ったと主張して自己弁護した。しかし、同氏は、サイバー強盗が終わるまでセキュリティ会社がバングラデシュで業務を開始できなかったのは官僚的な障害のせいだと非難した。^[42]

2016年8月5日、フィリピン中央銀行は、銀行強盗事件に関連して銀行法および規制に違反したとして、RCBCに対して10億ペソ（5,292万米ドル）の罰金を承認した。これは、フィリピン中央銀行がこれまでに承認した金融機関に対する罰金としては過去最高額である。RCBCは、同銀行がフィリピン中央銀行の決定に従い、課せられた罰金を支払うと述べた。^[43]

バングラデシュ銀行は盗まれた金の回収に努力を続け、ほとんどがマニラ首都圏に拠点を置く賭博ジャンケット運営者から回収した約1500万ドルにとどまった。2019年2月、連邦準備制度理事会はバングラデシュ銀行の金回収を支援すると約束し、SWIFTも中央銀行のインフラ再建を支援することを決定した。バングラデシュ中央銀行はまた、RCBCが強盗に加担していると信じ、 2019年初頭にこの事件に関して米国ニューヨーク南部地区連邦地方裁判所に訴訟を起こし、フィリピン銀行を「大規模な陰謀」で告発した。これに対し、RCBCはバングラデシュ銀行の主張は根拠がないと考え、バングラデシュ銀行を名誉毀損で告発する訴訟を起こした。^[44]

2020年、バングラデシュ銀行はRCBCに対して複数の訴訟原因でニューヨーク最高裁判所に訴訟を起こした。これらの訴訟原因のうち3つは2024年2月29日に却下された。同年6月、ニューヨーク控訴裁判所は、別の裁判所で事件を審理するというRCBCの請願を却下した。^[45]

この事件により、フィリピンはマネーロンダリング対策が不十分な国としてマネーロンダリング金融活動作業部会の ブラックリストに再び載せられる恐れがあった。 ^{[46] 2012年に議員らが}疑わしい取引に関してマネーロンダリング対策協議会に報告する必要がある組織のリストからカジノを除外することに成功した後、フィリピン当局のマネーロンダリング対策の潜在的な弱点に注目が集まった。

この事件は、サイバー犯罪者が本物の銀行認証コードを使って注文を本物に見せかけ、政府機関と民間機関の両方にサイバー攻撃を仕掛ける脅威を浮き彫りにした。スウィフトはこれに対応してスウィフトCSP（顧客セキュリティプログラム）を作成した。スウィフトはスウィフトシステムを使用する銀行に対し、サイバーセキュリティ体制を強化し、CSCF（顧客セキュリティコンプライアンスフレームワーク）として知られるスウィフトのセキュリティガイドラインに従うよう勧告している。^[47]

• ビリオン・ダラー・ハイスト、この事件に関する2023年のドキュメンタリー^[48]

• ゼロトラストセキュリティモデル

• ハッキング：バングラデシュ銀行強盗 2020年7月8日、 Wayback Machineにアーカイブ。アルジャジーラ英語版、2018年5月（ビデオ、25分）
• ラザロ強盗10部構成のポッドキャストシリーズ