Capillary、€300万詐欺は外部の社会工学型とKPMG監査

インドのSaaS企業Capillary Technologiesは、子会社SessionM Czech Republicで起きた304万ユーロの銀行詐欺について、KPMGによるフォレンジック監査の結果を取引所への開示で明らかにした。監査は、上級幹部と外部弁護士になりすました外部の送金転用詐欺に最も整合的だと結論づけた。

監査で判明したこと

同社によると、手口には類似ドメインのメール、ソーシャルエンジニアリング、WhatsAppや個人メールでのやり取りが使われた可能性が高い。調査対象のシステムと記録からは、マルウェア、不正アクセス、メールボックスの侵害、アカウント乗っ取り、従来型のメール偽装の証拠は見つからなかった。従業員が関与した証拠も確認されていない。

ディープフェイクの音声や映像については、元の録音、モバイル端末のデータ、通話記録が入手できず、使用の有無を肯定も否定もできなかったという。争点となった4件の取引のうち3件はHSBC香港のZZDJB CO LIMITEDへ、1件はUOBシンガポールのZHONGXIAN TRADING PTE. LTDへ送金された。

調査の限界と今後

監査は最初の送金は確認したものの、その後の資金移動の追跡、最終受益者の特定、回収見込みの評価は行っていない。銀行ポータルやワークフローの記録が欠けていたため、同社の支払い承認プロセスも独自には検証できなかった。

Capillaryは支払い管理を強化し、回収と法的措置を進めているとしている。同社はすでに45万ユーロを回収し、関連が疑われる口座が銀行により凍結されたと説明。顧客データと技術基盤は侵害されていないという。

対象の子会社は、同社が2月に2000万ドルで買収したMastercardのロイヤルティ基盤SessionM関連である。AIで巧妙化する詐欺に対し、送金承認の確認体制をどう整えるかが企業の課題となる。