BSP、2021年12月のハッキングで顧客口座が流出したことを受けBDOとUnionBankを制裁

2021年12月、ハッカーは侵害されたWebサービスを通じてBDO Unibankの顧客口座に不正アクセスし、主にUnionBankの口座へ資金を移動させた。国家捜査局（NBI）は約700人の顧客が影響を受けたと述べた。約120万ペソが現金化され、送金がフラグ立てされていなければ総額は5000万ペソを超えた可能性があった。

2022年4月、フィリピン中央銀行（Bangko Sentral ng Pilipinas）は調査を完了し、金融委員会（Monetary Board）は両銀行への制裁を承認した。BSPは制裁の内容を公表しなかったが、UnionBankのCEOは金銭的罰金はなく、代わりに両銀行はオペレーショナルリスクに対する資本賦課を引き上げるよう求められたと述べた。BDOは従うと述べ、BSPは影響を受けた顧客への払い戻しを行ったBDOを評価した。

この事件は、両銀行がより強固な認証や不正対策ではなく、取引後のモニタリングに依存していたことを露呈した。この手口で使われた「Mark Nagoyo」というペルソナは、フィリピンでオンラインバンキングに対する個人情報窃取攻撃を指す略称となった。

約700のBDO口座が被害を受け、約120万ペソが現金化され、5000万ペソ以上が危険にさらされた。BSPは両銀行を制裁し、BDOは顧客に払い戻しを行い、オペレーショナルリスクに対する資本賦課が引き上げられた。

この侵害は侵害されたWebサービスから始まった。つまり、不正のフラグが立つ前にセッションと認証の制御が失敗していた。

送金はUnionBankの口座を通じて行われたため、受け取り側の銀行自身のリスクチェックもこのパターンを捉えられなかった。

両銀行は、5000万ペソ規模の窃取を阻止できたはずのリアルタイムの制御ではなく、払い戻しと規制上の制裁に頼った。

BSPの対応は、サイバーインシデントが単なるNBI向けの刑事事件ではなく、監督上の失敗であることを明確にした。

銀行は攻撃者の行為に対して制裁を受け得る。2021年12月の侵害は不正のフラグが立った後に初めて阻止され、規制当局は弱い制御に対して両銀行を処罰した。

BDOは影響を受けた顧客に払い戻しを行い、両銀行はサイバーセキュリティ、マネーロンダリング対策、テロ対策の制御を強化すると約束した。制裁には公表された金銭的罰金はなかったが、オペレーショナルリスクの資本賦課の引き上げは両行にとって直接的な財務コストとなった。NBIと司法省は送金に関与した個人に対して刑事告訴を進め、この出来事はフィリピンにおけるより強固な電子バンキング認証への広範な推進を後押しした。