First Horizon Bankは、企業顧客を装った人物が「新しいiPhoneに交換した」と説明して認証トークンを再発行させ、その後に多額の電信送金を実行したとされる2件の訴訟に直面している。2件で問題となっている送金額は合計2400万ドルを超え、一部は回収されていない。訴訟では、銀行のコールセンターにおける本人確認、企業口座のセキュリティ設定、同様の詐欺手口を銀行が早期に把握していたかどうかが争点となっている。
2社の口座から2日間で650万ドルが流出
フロリダ州オーランド地域の企業K&A Rosario HoldingsとMJR Fundは今年5月、オーランド連邦裁判所でFirst Horizonを提訴した。訴状によると、3月3日、電話をかけてきた人物はK&Aを運営し、MJRを担当するMisael Rosarioを名乗り、「iPhone 14に交換したため、企業口座にアクセスする認証トークンを再取得する必要がある」と説明した。
First Horizonのカスタマーサービスはその後、認証トークンを再発行した。同行の企業口座向け設定ガイドによれば、トークンをスマートフォンのアプリに読み込むと、60秒ごとに新しいコードが生成される。企業顧客は、支払いを実行する際、このコードとパスワードの双方を使う仕組みだ。
約80分後、2社のうち1社の口座から6件の電信送金が実行され、総額は485万ドルに達した。3月5日までに、両社の口座からは合計12件、約650万ドルの送金が行われた。訴状では、450万ドル超が現在も回収されていないとしている。
K&AとMJRの代理人Victor Velarde氏は、電話をかけてきた人物がオンラインバンキングのログイン情報をどのように入手したのか、両社は把握していないと述べている。訴状によれば、発信元の電話番号はカリフォルニア州のものだった一方、両社の管理者はフロリダ州に居住し、銀行にはこれまでフロリダ州の電話番号だけを登録していた。また、発信者がRosario氏の名前を口にした際には、2通りの異なる発音があったという。
法律事務所では1730万ドルの送金
これに先立つ約5週間前、フロリダ州パームビーチの法律事務所Rabideau Kleinでも、類似した事案が起きた。別の訴状によると、電話の発信者は同じく「新しいiPhone」を理由に認証トークンの再発行を求め、その数時間以内に法律事務所の信託口座から13件、総額約1730万ドルの電信送金が行われた。
この口座には、不動産取引に関するエスクロー資金が保管されていた。法律事務所は約1070万ドルを回収したものの、約655万ドルはなお回収できていないとされる。
事件は1月27日に始まった。フィッシングメールを通じて、攻撃者は法律事務所のMicrosoft 365メールアカウントの1つに侵入した。翌日には、電話事業者を説得して法律事務所の電話を自分が管理する番号へ転送させた。
その夜、攻撃者はFirst Horizonのオンラインバンキングにある「ユーザーIDまたはパスワードを忘れた場合」の機能を使い、Guy Rabideau氏のパスワードをリセットしてユーザーIDを入手した。その後、Rabideau氏本人を名乗って銀行に電話し、トークンの再発行を求めた。
銀行が口座番号を尋ねると、発信者はまず「自分たちの」口座番号を探していると答え、その後に関連情報を伝えた。さらに、銀行の記録と完全には一致しない企業名、Rabideau氏の社会保障番号の下4桁、銀行のウェブサイトに直前に表示されたユーザーIDを提示したという。
資金管理部門に電話が転送された後、別の担当者はユーザーID、氏名、電子メールアドレス、口座番号の下4桁を確認し、法律事務所に登録された電話番号へ認証コードを送ると伝えた。発信者は音声通話でコードを受け取りたいと求め、担当者はこれに応じた。その結果、認証コードの電話は攻撃者の手元に転送された。銀行がその後、電子メールで送ったトークンの有効化リンクも攻撃者に傍受されたとされる。
訴状によると、銀行のログには、その後数時間にわたりシカゴからログインが行われた記録が残っている。攻撃者はRabideau氏名義で2つ目のユーザーIDも作成し、自分の電子メールアドレスと電話番号を登録したうえ、法律事務所の他の4人の従業員によるオンラインバンキングへのアクセスを停止した。
2件の事件では、いずれもShaoxing Fanshun Import and Exportという同じ企業への支払いが含まれていた。K&Aの訴状によると、同社の口座からは同社宛てに4件、総額229万ドルの送金が行われた。K&A、MJR、Rabideau Kleinとこの企業の間にほかの関係があるかどうかについて、訴訟資料は説明していない。
First Horizonは管理体制の適切な運用を主張
テネシー州メンフィスに本社を置くFirst Horizonは、Rabideau Kleinの件でリスクを適切に防げなかったとの主張を否定し、2件の訴訟に対応している。同行の広報担当者は、関連する「システム、管理策、保護措置はすべて想定どおりに機能していた」と説明した。K&AとMJRの訴訟についても、同行は積極的に争う方針を示している。
Rabideau Kleinの件で、First Horizonは損失の原因を法律事務所側のセキュリティ上の問題に求めている。フィッシングメールが事件の起点であり、法律事務所は同行が以前に提案した電信送金の二者承認機能も利用しなかったと主張した。この機能では、送金を実行する前に別のユーザーが1件ごとに承認する。法律事務所がこの機能を有効にしないことを選んだ書面に署名していたことを示す資料も、訴訟書類に含まれている。
Velarde氏は、K&AとMJRはセキュリティ手続きを自ら放棄していないと述べた。ただし、両社が二者承認を利用していたかどうかについては説明していない。First Horizonは、認証トークンの再発行を求める電話の発信者をどのように確認したのか、また1月の事件後に手続きを変更したかどうかを公表していない。
銀行は類似手口を事前に把握していたのか
K&AとMJRは訴訟で、First Horizonが3月より前に類似の手口を把握していた可能性を指摘している。訴状によると、Rabideau Kleinが1月29日に詐欺被害を報告した時点で、同行は「iPhoneを交換した」と主張して顧客口座に侵入する手口を実際に認識していた。また、Shaoxing Fanshun宛ての電信送金が詐欺に関係している可能性も把握していたという。
K&A側は、こうした事情が、同行のセキュリティ手続きが統一商事法典（UCC）第4A条の「商業上合理的」といえる基準を満たしていたかどうかに影響すると主張している。同条は、一般に電信送金に関する責任分担に適用される。無権限の送金が行われた場合、銀行が損失を負う可能性がある一方、銀行が誠実に行動し、顧客が同意した商業上合理的なセキュリティ手続きに従って処理していた場合には、責任の扱いが異なる可能性がある。
First Horizonは、K&Aの訴状に含まれる関連主張の削除を申し立てた。原告側の弁護士が別の無関係な訴訟から内容を流用しており、本件とは関係なく不適切だというのが同行の主張だ。これに対しK&A側は、銀行が把握していた詐欺の警告に基づいて対応しなかった場合、セキュリティ手続きの合理性に関する判断に影響し得るとした2012年の裁判所判断を引用している。
規制指針が示す登録番号とシステム確認
連邦金融機関審査評議会（FFIEC）は2021年の指針で、カスタマーサービスやITヘルプデスクがソーシャルエンジニアリング攻撃に悪用されるリスクを銀行が認識するよう促した。指針が挙げる管理策には、ワンタイムコードを事前登録済みの通信機器に送ること、顧客があらかじめ登録した電話番号へ折り返すこと、認識できない発信番号に印を付けること、電話番号や通信事業者が変更された場合の専用手続きを設けることなどが含まれる。
Rabideau Kleinの件では、銀行は実際に法律事務所の登録番号へ認証コードを送った。しかし、攻撃者はその前に電話事業者を説得し、登録番号への着信を自分の管理する番号へ転送させていた。登録済みの電話番号にコードを送るだけでは、実際の受信者が顧客本人であることを確認できない場合があることを示している。
Datos Insightsで詐欺・マネーロンダリング対策部門の戦略アドバイザーを務めるJim Mortensen氏は、氏名の綴りや社会保障番号の下4桁といった知識ベースの質問だけでは、現在のベストプラクティスを満たすのは難しいと指摘する。企業顧客が認証トークンの再発行を求める場合、銀行は登録番号へ折り返し、2人目の管理者による確認を求めるべきだという。
Mortensen氏は、リセットの承認がシステムによる本人確認ではなく、主にコールセンター担当者の判断に依存している場合、ソーシャルエンジニアリング攻撃は成立しやすくなると説明した。今回の2件で最終的に問われるのは、当時First Horizonが講じていた本人確認策、顧客側のセキュリティ設定、そして銀行が繰り返し現れていた詐欺の兆候をどの程度把握していたかを、裁判所がどう評価するかである。