防御側が監視していない週末にインドのフィンテックを狙う脅威アクター

何が起きたのか

インドのサイバーセキュリティ機関CERT-INは、AIを使う攻撃者による攻撃が「大きくエスカレート」していると警告しました。攻撃は2026年10月に初めて確認されました。狙われているのは、デジタル融資、フィンテック企業、決済サービス会社、電子ウォレットの事業者です。攻撃者は、インターネットにさらされたアプリやAPI(アプリ同士をつなぐ仕組み)を狙い、侵入できた場合は決済APIを使ってお金を盗もうとします。一度被害を受けた企業が対策に失敗すると、再び狙われることもあります。

押さえておきたい数字と事実

• CERT-INが攻撃を最初に検知したのは2026年10月です。
• 攻撃者には「CRAFTY FALCON(クラフティ・ファルコン)」という名前がつけられました。
• 最初のテストでは、約0.01ドルの小さな支払いを送って攻撃が効くかを確かめます。
• 攻撃は休日、週末、その他の見張りが少ない時間帯を狙って行われています。
• CERT-INは、攻撃が「活発で、さらに増えている」として、24時間365日の監視を勧めています。

攻撃の手口をやさしく説明

攻撃者はまず、テスト用や開発用の環境で、共有のパスワードや認証トークン(ログインの代わりに使う鍵のようなもの)を探します。それを手がかりに、本番環境へ入り込みます。侵入後は、アプリを書き換えて、本来は許されない API 呼び出しをさせます。防御側は「正規のアプリだけがこのAPIを呼ぶ」と思い込んでいるため、攻撃が見逃されやすくなります。暗号資産の取引所では、ウォレットの鍵を盗んで資産を空にすることもあるとされています。

なぜ重要なのか

お金を扱う企業が、同じ相手に何度も狙われるのは大きな問題です。AIを使うと、似た攻撃を素早く何度も作り直せます。そのため、一度の対策だけでは守りきれません。ログの記録、異常の監視、テスト環境をインターネットから切り離すことなど、基本的な対策の重要性が改めて示されました。

今後注目したい点

• CERT-INが挙げた業種以外に、銀行や保険の被害が広がるかどうか。
• 攻撃に使われたAIツール(ARTEX、Cairn、CyberStrikeAI)への対策が進むかどうか。
• インドの企業がログ監視や24時間監視をどこまで導入するか。