セキュリティ2026/11/04 20:00 UTC·2 分で読めます

I4C、AIエージェントによる金融機関への不正攻撃に警告

インドのI4Cは銀行やNBFC、フィンテック企業に対し、AIエージェントを悪用した攻撃が決済システムを侵害し、資金を高速で移動させていると警告した。

A bank security analyst monitors a dashboard of payment transactions flagged for suspicious AI-driven activity. — 画像: mint

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

インドのサイバー犯罪対策機関であるインド・サイバー犯罪調整センター(I4C)は、銀行、ノンバンク金融会社(NBFC)、フィンテック企業に対し、AIエージェントを使った金銭目的のサイバー攻撃が増えているとして警告を出した。攻撃者はシステムを侵害し、不正取引を「マシン速度」で実行できるという。

内務省傘下のI4Cの国家サイバー犯罪脅威分析ユニット(NCTAU)が、電子情報技術省傘下のCERT-Inと共同で注意喚起を発表した。攻撃者が記録を削除して痕跡を隠そうとするため、捜査が一層難しくなっているとも指摘している。

攻撃の手口

注意喚起によると、攻撃者は未パッチのソフトウェアや、設定に不備のあるインターネット公開サーバーを突いて侵入する。顧客向けや苦情対応用のインターフェースも標的になり得る。侵入後は、自動の資金支払いシステムや、決済・送金に使うAPIを狙う。エージェント型AIのフレームワークにより、攻撃が高速化するという。

資金は複数の銀行にある「ミュール口座」へ送られ、IMPSやNEFTで素早く移動・引き出される。その後、記録が消される。個別事例では、資金支払いシステムやAPIを通じた数億円規模ではなく「数クロール(multi-crore)ルピー」の不正取引が確認されたが、具体的な事例名は示されていない。

求められる対策

金融機関には、CERT-Inの重大度「クリティカル」の勧告に示された対策を直ちに実施するよう求めている。また、2026年5月のCERT-Inのブループリントや、各分野の規制当局の枠組みに沿った統制も要請した。決済関連APIの完全な一覧を保持し、旧式・未使用・テスト用のインターフェースを無効化すること、CISOチーム、取引監視、IT部門の連携強化も挙げた。

インシデントは検知から6時間以内にCERT-Inへ報告する必要がある。銀行とNBFCは同じ期間内にインド準備銀行のDAKSHポータルにも報告しなければならない。

内務省のデータでは、2023-24年度から2025-26年度にNCRPへ寄せられたサイバー詐欺の苦情は530万件超、FIRは18万1271件超、報告総額は5万6087クロール(ルピー)超に上る。