金融庁は7月30日、「金融分野におけるITレジリエンスに関する分析レポート」を公表しました。
銀行や証券、保険など金融分野全体を対象とした資料ですが、暗号資産（仮想通貨）交換業者で発生した資産流出や不正アクセス、システム障害の事例も複数収録されています。
レポートには、北朝鮮を背景とするサイバー攻撃グループによるビットコイン流出のほか、署名鍵の復旧情報を悪用した暗号資産の流出、公式SNSアカウントの乗っ取り、外部サービスの障害による出金遅延などが掲載されました。
暗号資産交換業者で発生した主な流出・障害事例
サイバー攻撃の事例では、ウォレットソフトウェア提供会社の従業員になりすました攻撃者が、正規取引のリクエストを改ざんしました。これにより、顧客が保有するビットコインが不正に流出しています。
金融庁は対策として、多要素認証の導入に加え、通常とは異なる時間帯のアクセス監視、端末とアクセスログの照合、ログの集中管理などを挙げています。
別の暗号資産交換業者では、ウォレットシステムへの不正アクセスによって、事業者が自己保有していた暗号資産が流出しました。攻撃者は署名鍵の災害・障害復旧に関する情報を悪用しており、復旧情報へのアクセス管理が不十分だったことが原因とされています。
対策には、復旧情報の暗号化や分散管理、アクセス権限の厳格化、職務分掌によるけん制などが示されました。
このほか、担当者がフィッシングサイトに認証情報を入力したことで、暗号資産交換業者の公式SNSアカウントが乗っ取られ、偽のログインページへ誘導する投稿が行われた事例も収録されています。
システム障害では、外部の暗号資産入金スクリーニングサービスでデータベース障害が発生し、約16時間にわたって暗号資産の出庫と日本円の出金が遅延した事例が紹介されています。
また、新規暗号資産の販売時に想定を上回る注文が集中し、その後のプログラム修正でもミスが発生したことで、復旧までに1週間以上を要した事例も掲載されました。
レポートでは、多要素認証やアクセス監視、署名鍵の復旧情報に対する厳格な管理、外部サービス停止時の代替手段などが対策として示されています。
掲載された事例は、ウォレットだけでなく、署名鍵の復旧情報、外部委託先、開発環境、SNSアカウント、プログラム設計まで、幅広い領域が暗号資産事業者のリスクになり得ることを示しています。
参考元：金融庁
画像：Shutterstock
