【緊急解説】C&Mソフトウェア267億円サイバー攻撃事件｜金融システム史上最大被害から学ぶセキュリティ対策

2025年7月、ブラジルの金融システムを根底から揺るがす前代未聞のサイバー攻撃が発生しました。金融機関向けITサービス大手のC&Mソフトウェアが不正アクセスを受け、最大10億レアル（267億円相当）という史上最大規模の資金が不正に流出する事態となったのです。

この事件は、単なる一企業への攻撃にとどまらず、ブラジル全体の決済システムに影響を与える深刻な問題となりました。フォレンジックアナリストとして多くのサイバー攻撃事例を調査してきた経験から、この事件の詳細と、個人や中小企業が取るべき対策について詳しく解説します。

事件の概要：史上最大規模のサイバー攻撃

C&Mソフトウェアは、ブラジルの即時決済システム「PIX」を含む決済システムの中核を担う重要な企業です。攻撃は6月30日未明に実行され、翌7月1日に当局が通報を受けました。

被害の詳細：

特に深刻なのは、流出した資金の大部分が「銀行間決済やPix送金の流動性確保のために使用される重要な資金」だったことです。これは金融システムの根幹に関わる部分であり、その影響は計り知れません。

今回の攻撃で特筆すべきは、犯行グループがC&Mの顧客のユーザー名とパスワードを用いて不正ログインを行ったという点です。これは「クレデンシャル攻撃」と呼ばれる手法で、近年のサイバー攻撃で非常に多く見られる手口です。

フォレンジック調査の現場では、このような攻撃パターンを頻繁に目にします：

C&Mの事件では、この一連の流れが極めて巧妙に実行されたと考えられます。

「これは大企業の話だから自分には関係ない」と思うかもしれませんが、それは大きな間違いです。実際のフォレンジック調査では、個人や中小企業も同様の手口で被害を受けるケースが急増しています。

事例1：中小企業のネットバンキング被害
製造業A社（従業員50名）では、経理担当者のPCがマルウェアに感染。ネットバンキングの認証情報が盗まれ、一晩で800万円が不正送金されました。幸い、銀行の不正検知システムが作動し、400万円は返金されましたが、残りの被害額は回収できませんでした。

事例2：個人事業主のクレジットカード情報流出
デザイナーB氏は、フィッシングメールに騙されてカード情報を入力。その後、海外で高額商品の購入に悪用され、総額120万円の被害を受けました。

これらの事例から分かるのは、規模に関係なく、誰もがサイバー攻撃の標的になり得るということです。

C&Mソフトウェアの事件を教訓に、個人や中小企業が取るべき対策を現役CSIRTメンバーの視点からご提案します。

最も重要なのは、単一の防御手段に依存しないことです。アンチウイルスソフトを導入することで、マルウェアの侵入を防ぐ第一の防壁を築くことができます。

現代のアンチウイルスソフトは、従来のシグネチャベースの検出に加えて、AIを活用した行動分析により、未知の脅威も検出できるようになっています。特に、今回のようなクレデンシャル攻撃の前段階で行われるマルウェア感染を防ぐことが重要です。

在宅勤務や外出先からの業務が増える中、通信の暗号化は必須です。VPN を使用することで、インターネット通信を暗号化し、第三者による盗聴や改ざんを防ぐことができます。

特に公共Wi-Fiを使用する場合、VPN なしでは認証情報が簡単に盗まれてしまいます。C&Mの事件でも、最初の認証情報がどこで盗まれたかが重要な調査ポイントになっています。

パスワードだけでなく、SMSやアプリによる認証コードを組み合わせることで、仮にパスワードが盗まれても不正ログインを防げます。

技術的な対策だけでなく、従業員のセキュリティ意識向上も重要です。フィッシング攻撃の見分け方や、怪しいメールの処理方法を定期的に教育しましょう。

C&Mソフトウェアの事件は、サイバー攻撃の巧妙化と大規模化を示す象徴的な事例となりました。犯行グループは、正規のユーザー認証情報を使用することで、従来のセキュリティ対策をすり抜けることに成功しました。

この事件から学ぶべき最大の教訓は、「完璧なセキュリティは存在しない」ということです。しかし、適切な対策を多層的に実装することで、被害を最小限に抑えることは可能です。

特に重要なのは：

これらの要素を組み合わせることで、C&Mソフトウェアで発生したような大規模被害を防ぐことができます。

267億円という史上最大規模の被害を出したC&Mソフトウェアのサイバー攻撃事件は、現代のデジタル社会における脅威の深刻さを物語っています。この事件は大企業だけの問題ではなく、個人や中小企業にとっても重要な教訓を含んでいます。

適切なセキュリティ対策を講じることで、このような被害から身を守ることができます。アンチウイルスソフトによる基本的な防御と、VPN による通信の暗号化は、現代のサイバー脅威に対する最低限の備えと言えるでしょう。

サイバーセキュリティは一度設定すれば終わりではなく、継続的な取り組みが必要です。今回の事件を機に、ぜひ自社のセキュリティ対策を見直してみてください。