セキュリティ2026/11/05 9:50 UTC·2 分で読めます

CERT-In、インドのフィンテックを狙うAI攻撃「Crafty Falcon」を警告

インドのCERT-Inは、AIを使うハッキング集団「Crafty Falcon」がNBFCや決済事業者、暗号資産取引所への攻撃を強めており、今も続いていると警告した。

Digital padlock over a network of financial transaction data, symbolizing a cyber attack on fintech firms — 画像: The Indian Express

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

インドのコンピューター緊急対応チーム(CERT-In)は11月4日(水)、同国のフィンテック企業を狙うAI駆動型のハッキングキャンペーンがここ数日で激化しているとする新たな勧告を出した。「脅威は活動中で継続している」としている。被害を受けたのは、ノンバンク金融会社(NBFC)、デジタル融資プラットフォーム、決済アグリゲーター、暗号資産取引所などだ。

金融分野を担当するCSIRT-Finは、この攻撃者を「Crafty Falcon」と名付けた。被害企業が報告したインシデントの分析によると、攻撃者はAIツールで標的を調査し、被害企業自身の決済・送金APIを機械的な速度で呼び出して攻撃していた。

修復不足を突いた再攻撃

今回の勧告は10月9日の警告に続くものだ。当時は、インターネットに公開されたアプリケーションや露出したAPI、盗まれた認証情報の弱点を突き、ダミーの参照IDを使った不正送金が複数銀行のマネーミュール口座へ流されていると指摘していた。CERT-Inによると、企業は脆弱性を修正したが、対応が不完全だったため「意図的に再び狙われた」。攻撃者は監視が手薄になり検知や対応が遅れやすい祝祭期間に合わせて動いたとみられる。

使われているのは、ARTEX、PentAGI、Cairnといった公開のAI攻撃ツールと、「CyberStrikeAI」フレームワークだ。CERT-Inは、これらが攻撃の連鎖を自律的に実行し、標的の反応に応じてペイロードを調整すると説明する。攻撃基盤のIPアドレスは数時間から数日で入れ替わる。

確認された手口

攻撃者はAWSとLambdaのクラウド環境を狙い、テスト環境を足掛かりに、共有された認証情報やトークンを使って本番環境へ横移動した。アプリのコードをリバースエンジニアリングし、改変したアプリパッケージで不正なAPI呼び出しも行った。CDNやアプリストアのレビューツールなど信頼されたサービスを経由し、IPを正規のものに見せかけていた。

高額取引の前には1ルピーの試験送金を実施。決済事業者の加盟店精算APIが悪用され、暗号資産取引所では盗まれたウォレット鍵が狙われた。Node.jsやPHPで最近見つかった脆弱性もすぐに悪用されたという。

CERT-Inは全BFSI事業者に対し、これを即時かつ継続的な脅威として扱うよう強く求めている。検知ルールなどは限定配布の勧告で共有された。