COMPLIANCE
INSIGHTS
コラボレーション：サイバー犯罪と金融犯罪をより効果的に管理するための方策

内部監査人協会（IIA）
情報／CBOK調査結果

キャロル・ボーミエ、バーナディン・リース著
サイバー犯罪と関連する金融犯罪を効果的に管理するため、情報や教訓を共有することは、ますます重要になってきています。そのため、金融機関はこれまでのリスク管理方法を見直す必要があります。
私たちは、第 4 次産業革命の中にいます 1。驚異的な技術るテロ資金調達行為を摘発したと発表しました 4。こうしたの進歩は、私たちの生活や仕事の在り方を変え、これから現実は、サイバーリスクマネジメントチームと金融犯罪対策も変え続けるでしょう。これらの進歩は、莫大な利益をもたチームの更なる連携強化の必要性と、そのメリットの可能らすだけでなく、秩序を乱す行為を誘発する可能性も秘め性の両方を示唆しています。ています。
複数の国・地域においては、サイバー犯罪がマネー・ロー
この秩序を乱す行為は、欧州や米国で発表された最近のンダリングの前提犯罪であり、当該国・地域内のマネー・報告書が示すように、そのほとんどが経済的利益の欲求をローンダリング／テロ資金供与対策（AML/CFT）の優先動機とするサイバー犯罪の急激な増加に表れています 。

事項であると明確に認識されているにもかかわらず 5,6、金2020 年、米国司法省は、ハマスの軍事組織であるアル＝融犯罪とサイバーリスクの管理は、従来、金融機関においカッサム旅団、アル・カイーダ、イラクとレバントのイスラムて別々に行われてきました。しかし、サイバー犯罪と金融犯国（ISIS）の 3 つのテロ組織が関与する、サイバー攻撃によ罪の検知のため、根本的に、金融機関は次の同じ質問に答

2,3

1

Fourth Industrial Revolution, World Economic Forum, www.weforum.org/focus/fourth-industrial-revolution.

22022 Data Breach Investigations Report, Verizon, www.verizon.com/business/resources/reports/dbir/.

3“Cybersecurity: Main and Emerging Threats,” Euroreporter, February 7, 2023, www.eureporter.co/defence/cybercrime-2/2023/02/07/

4

Global Disruption of Three Terror Finance Cyber-Enabled Campaigns, Internal Revenue Service, August 13, 2020, content.govdelivery.
com/accounts/USIRS/bulletins/29a1ec3#:~:text=WASHINGTON%20%E2%80%93%20The%20Justice%20Department%20today%20
announced%20the,Islamic%20State%20of%20Iraq%20and%20the%20Levant%20%28ISIS%29.

5Anti-Money Laundering and Countering the Financing of Terrorism National Priorities, Financial Crimes Enforcement Network, June 30, 2021,
www.ﬁncen.gov/sites/default/ﬁles/shared/AML_CFT%20Priorities%20(June%2030%2C%2021).pdf

6Directives, Oﬃcial Journal of the European Union, European Union, November 12, 2018, https://eur-lex.europa.eu/legal-content/EN/TXT/PD
F/?uri=CELEX:32018L1673&from=EN.

cybersecurity-main-and-emerging-threats/.

える必要があります：我々は誰と関わっているのか、そして彼らの行動が合法的であることをどのように確認するのか。

サイバー犯罪と金融犯罪を検知するには、金

したがって、直感的には、サイバー犯罪と金融犯罪のリスク融機関は同じ問いに答える必要があります。

マネジメントの連携を強化することが、両者のリスクマネジメントの改善につながると思われます。

高まるサイバー犯罪の潮流
サイバー犯罪とは、簡単に言えば、コンピュータやインタールやテクノロジーに接するようになりました。この状況は、ネットを利用して行われる犯罪行為のことです。サイバーハイブリットワークの環境下でもある程度続いています。こ犯罪がいつ始まったかについては議論がありますが、電子のような中、2022 年の全世界におけるサイバー犯罪対策メールが一般的に使われるようになった 1980 年代後半のコストは 8.4 兆ドルと推定されています。2026 年までにに見られ始めたというのが、多くの専門家の見解です 。今は、全世界のサイバー犯罪対策の年間コストは 20 兆ドルをでも存在している一匹狼のハッカーが初期のサイバー犯罪超え、約 150% 増加する可能性があります 8。

7の実行犯でしたが、今日のサイバー犯罪には、政府から犯罪集団まで、組織立った実行犯も含まれています。

経済的利益を得るために行われるサイバー犯罪は、データへのアクセスや不正利用を伴います。金融機関にとっては、より多くの従業員がリモートでCOVID-19 の流行期には、自社のデータや顧客のデータがリスクにさらされることに働き、従来は一元管理されていたデータがより自由に、よりなります。サイバー犯罪の手口は多岐にわたり、例えば以頻繁に共有され、従業員はそれまで経験のない新しいツー下のようなものがあります。

サイバー犯罪の行為者が金融犯罪を行う際に使用する手法

01
06

企業データの盗用

02

ビジネスメールの流出

顧客データの盗用

05

03

ランサム
ウェア

個人情報の流出04
オンライン詐欺

7“Cybercrimeʼs Evolution Since the 80ʼs: Historical Facts and Figures,” by Andrew Douthwaite, Virtual Armour, October 26, 2022, https://8

Estimated Cost of Cybercrime Worldwide From 2016 to 2027,” Statista, www.statista.com/statistics/1280009/cost-cybercrimeworldwide/#:~:text=The%20global%20cost%20of%20cybercrime,U.S.%20dollar%20mark%20in%202023.

virtualarmour.com/cybercrimes-evolution-since-the-80s/#:~:text=Experts%20agree%20that%20%E2%80%9Ccybercrime%E2%80%9D%20
as,today%20originated%20in%20the%201980s.&text=Cybercrime%20has%20increased%20300%25%20since,roughly%201.5%20million%20
in%202010.

protiviti.jp

Compliance Insights • 2サイバー犯罪による金融機関のデータ流出件数は、2018

りましたが、スペルミスを起因として不正な大量送金を疑っ

年 1 月から 2022 年 6 月までに米国だけで 1 億 5,330 万件たニューヨーク連邦準備銀行が 30 件の取引を中止しました。にのぼっています 。では、サイバー犯罪の実行犯は、これら9のサイバー犯罪からどのように金銭的利益を得るのでしょ

スペルミスは、組織内のセキュリティ研修において習うよううか。直接的な利益につながる場合（例えば、ランサムウェに、不正取引の兆候を示す一般的な情報です。

ア）もあれば、間接的に利益につながる場合（例えば、盗んだデータの違法なマーケットでの販売、融資や他の金融機関

しかし、8,100 万ドルというバングラデシュ中央銀行におの口座へのアクセスのための使用）もあります。サイバー犯

ける強盗事件は、金融機関史上最も大きな強盗事件の被罪の実行犯にとって個人データは非常に貴重な情報であ害額にはおよびません。日本の暗号資産交換所である

るため、サイバーセキュリティに対する攻撃の 11% はデータ

Coincheck における 2018 年のハッキングでは、北朝鮮を盗むことを直接の目的としていると推定されています 。

系と思われる実行犯が 5 億 3,400 万ドルの経済的利益を10得ています。実際、近年のハッキングのトップ 5 のうち 4 件
サイバー犯罪の実行犯は、金融システムも直接の標的にしが暗号資産交換業者をターゲットにした事案であり、サイています。2016 年のバングラデシュ中央銀行における強バー犯罪の実行犯により14 億 3,000 万ドルが強奪されま盗事件は、北朝鮮を拠点とするラザルスグループ（Lazarusした 11。

Group）が実行したのではないかとも考えられており、
SWIFT（Society for Worldwide Interbank Financial

人工知能（AI）は、多数の金融機関が多くの金融犯罪を検システムを通じてバングラデシュ中Telecommunication）知・評価する先進的な方法として捉えている一方、AI の技央銀行から 8,100 万ドルが盗み出されました。この事例

術自体がサイバー犯罪に対して脆弱性をはらんでいるとでは、ハッカーがマルウェアにより盗んだ銀行の認証情報いう側面があります。2020 年、顔認識ソフトウェアの新興を使用して口座管理先であるニューヨーク連邦準備銀行か企業であるクリアビュー AI は、サイバー犯罪の実行犯によらフィリピンの銀行に開設した口座に送金され、すぐに引きるハッキングにより、同社の顧客リストへ不正アクセス 12 が出されました。

あったことを明らかにしました。AI のモデリングやその使用方法を変更するためのアクセスが可能となってしまうと、ハッカーによるSWIFT への送金指示の総額が 10 億ドル

AI の使用や採用、社会的信頼に深刻な影響を与える可能近くだったため、実際には更に被害が拡大する可能性があ性があります。

連携により両リスクの管理をいかに改善するかサイバーリスク管理チームが、サイバー犯罪のリスクが高い効果的なリスク管理が可能となります。すでに情報を共有とされる国や、ロシアの制裁逃れを支援していると思われしている金融機関もありますが、多くの金融機関のプロセる国から、自社のウェブサイトにアクセスしようとする試みがスはまとまりなく、場当たり的な対応に留まっています。

増加しているとの情報を入手した場合、金融犯罪対策チームのリスク管理の向上につながるでしょうか。逆に、金融犯

サイバーリスクと金融犯罪リスクは、一般的に取締役会のリ罪対策チームが、最近発生した一連の ID 窃盗事件についスク管理委員会の管轄下にありますが、これらのリスクのて大規模な調査を行い、いくつかのパターンを特定した場日常的な管理は多くの場合、切り離されています。金融犯

合、サイバーリスクマネジメントチームのリスク管理の向上

罪は、多くの場合、最高リスク責任者または最高コンプライにつながるでしょうか。これらの質問に対する答えは「イエ

アンス責任者に報告を行うマネー・ローンダリング報告責ス」です。これらの情報を共有することで、両チームはより任者（MLRO）が率いるコンプライアンスチームにより管理

9Financial Data Breaches Accounted for 153.3 Million Leaked Records From January 2018 to June 2022,” by Paul Bischoﬀ, Comparitech, July27, 2022, www.comparitech.com/blog/vpn-privacy/ﬁnancial-data-breaches/.

10 “The Chance of Data Being Stolen in a Ransomware Attack Is Greater Than One in Ten,” Emisoft, July 13, 2020, www.emsisoft.com/en/
blog/36569/the-chance-of-data-being-stolen-in-a-ransomware-attack-is-greater-than-one-in-ten/.
11 “Here Are the Biggest Digital Heists of the Last Decade,” by Chris Stokel-Walker, Cybernews, June 29, 2022, https://cybernews.com/editorial/
here-are-the-biggest-digital-heists-of-the-last-decade/.
12 “Clearview AI: Face-Collecting Company Database Hacked,” BBC, February 27, 2020, www.bbc.com/news/technology-51658111.

protiviti.jp

Compliance Insights • 3

され、サイバーセキュリティは、通常、最高技術責任者または用いるサイバー犯罪の実行犯に対抗可能と思われますが、最高情報責任者に報告を行う最高情報セキュリティ責任者

金融犯罪とサイバーリスクマネジメントの技術的なコンプ（CISO）が率いる情報技術（IT）セキュリティチームによりライアンス要件は異なっています。多くの場合、コンプライ管理されています。

アンスチームと IT セキュリティチームは異なる認識を有しています。しかし、このようなサイロ化したアプローチでは、このように分離された管理は、金融機関におけるリスク評

犯罪行為の防止、あるいは少なくともより効果的な検知に価と管理方法に影響します。金融犯罪対策チームとサイ役立つデータを共有できていない可能性があります。

バーリスクマネジメントチームは、より高度化された手段をより広い視野でリスクをとらえる
金融機関は、顧客と資産をより効果的に保護するために、確保。従業員が組織内の金融犯罪管理を理解すること

サイバー犯罪と金融犯罪の重なりがより大きくなっているこは規制上の要件であり、特に、サイバーセキュリティリスクとを考慮する必要があります。具体的な取組みとして、サとその管理を、より広範な金融犯罪類型の中に含めるこ

イバー犯罪対策と金融犯罪対策の 2 つの分野の更なる連とは、より効果的な取組みとなります。シニア・マネジャー

携や、MLRO および CISO 間における定期的な情報共有や取締役会は、全体的なリスク評価を理解し、金融犯罪リにより、組織が直面する犯罪脅威の共通理解を醸成するこスクの枠組みについて、情報に基づいた課題を提供できとが考えられます。

るようになることが求められます。

ロシア制裁を契機として、マネー・ローンダリング（AML）

2. リスク評価：サイバーリスクが金融機関におけるマネー・チームと制裁チームが連携するようになりましたが、そこかローンダリング / テロ資金供与対策（AML/CFT）の リスら学ぶべき有益な教訓があります。当該 2 チームは、それクアセスメントに十分に組み込まれているかの検討。金

ぞれ金融犯罪のコンプライアンスに特化しているものの、融犯罪対策チームは、金融機関のサイバー犯罪の脅威

従来各部門が独自に業務遂行しており、主に制裁対象にに係る評価を理解し、当該評価を、地理、提供する商品ま該当した案件が AML チームに共有され、また、疑わしい取たはサービス、顧客グループ、および支払手段に関連す引の届出の提出要否を判断する場合に連携を行っていました。この 1 年、各チームは、チーム間の定期的な連携の場において、各チームの情報を共有することにより、双方のチームにとってより良い共通認識が得られるという教訓を得ました。この教訓は、金融犯罪やサイバー犯罪のチームにも当てはまるでしょう。
金融機関は、リスクアペタイト方針、リスク識別、評価、モニタリング、測定基準および報告などを含む、各チームのリスクフレームワークの整合性を高めることも検討すべきかもしれません。このようなリスクに関する連携は、シニア・マネジメント層によるより広い視点での監督にも役立つでしょう。
以下は、サイバー犯罪と金融犯罪のリスクマネジメントを統合し、改善するために金融機関が取り得る6 つのステップです。

1. 従業員の研修と意識向上：社内研修や意識向上プロ

金融機関への質問：• 金融犯罪やサイバー犯罪に関連するリスクや情報は、組織内でどのように共有されていますか。

• サイバー犯罪者に最も利用されやすい商品やサービス、場所について把握していますか。

• マーケットでサイバー事案が発生した場合、全ての脆弱性がサイバー犯罪と金融犯罪の両方の観点から評価されていますか。

• サイバー犯罪の脆弱性を理解することで、金融犯罪の予防・検知の管理をどう向上させることができますか。

グラムへのサイバー犯罪に関するリスクの組み入れのprotiviti.jp

Compliance Insights • 4

るリスクに係る情報の提供に役立てるために活用すべきサイバー犯罪収益のローンダリングは、複数のよく知らです。このような理解は、調査を行う金融犯罪対策チーれた方法により行われるため、金融機関はこの活動をムや疑わしい取引の届出に関する高度化に役立ちます。

検知するための監視・モニタリングシステムの調整を確実に行う必要があります。最も一般的な方法として、

3. 顧客受入：口座開設時のデューデリジェンスへのサイ少額資金の検知を回避するためのマネーミュールを介

バー犯罪のレッドフラッグの組入れ。新規顧客の口座開する方法、犯罪者の身元を隠すためのフロント企業を介設と定期的な顧客情報の更新を担当する従業員は、サイする方法、特定の高リスク国における現金ビジネスまたバー犯罪の実行犯が窃取したデータを使用し、金融機関は金融担当者を介する方法などが挙げられます 14。暗に口座を開設する方法に関する知見を有する必要があ

号通貨もハッキングやランサムウェア攻撃の収益のローります。米国の金融犯罪取締ネットワーク（FinCEN）
は、ンダリングに多く使用されており、金融機関はこのような他の国家機関とともに、窃取された文書の使用に関連す先について更に精査を行うべきです。

る多くのレッドフラッグ を特定しており、以下を含んでい13ます。

また、サイバー犯罪のレッドフラグとして指摘されている、リスクの高い国の関係者とのオンライン取引や、プリペイ• 顧客から提出された氏名のスペルが、政府機関発行の身分証明書のスペルと一致しない。

• 身分証明書の写真が不鮮明または低解像度である、または細工されたような形跡がある。

• 顧客の身体的特徴と身分証明書に記載されている情報が一致しない。
または躊躇している。
• 顧客が補足書類の提出を拒む、ドカードによる支払いの多さについても、優先的に精査する必要があります。顧客基盤の広い範囲に影響を及ぼす可能性のある既知のサイバーインシデントが発生した場合は、モニタリング手続きを強化する必要があります。これは、口座情報の変更を確認するための厳格な手続きから、リスクのある顧客層を検知するための敷居値や取引額の引き下げまで、さまざまな対応の可能性があります。

個人情報窃取の疑いがある場合、特に金融機関の現在または過去の顧客が関与している場合は、サイバーリス

5. インシデント対応の組合せ：セキュリティ侵害に関連すクマネジメントチームと共有する必要があります。これ

る情報の可能な限りの素早い金融犯罪チームとの共有

らの事例は、金融機関がハッキングされた可能性が高の必要性。金融機関やその顧客に対する金融犯罪においことを示しています。

ける、
サイバー攻撃で窃取されたデータの悪用方法に関する評価を含む複合的なインシデント対応は、更なる犯

4. モニタリングと検知：サイバー犯罪の実行犯が金融犯罪罪を防止または特定する金融機関の能力を高める可能を行う際に使用する類型の、金融犯罪対策チームおよび性があります。インシデントが発生した場合に、対応策をサイバーリスクマネジメントチーム間での情報共有枠組

文書化している金融機関はより効果的な対応が可能となみの確立。金融犯罪とサイバー犯罪の予防と検知は、活り、また、金融犯罪の他面的な影響を考慮することは、脆動の背後にいる人物とその真の目的を隠すような事象に弱性のある全ての領域を特定する助けとなります。

対するモニタリングと探知に依拠しています。金融犯罪対策としての取引モニタリングや監視ソフトウェアの使用

6. 顧客とのコミュニケーションおよび教育：金融犯罪対策

は、金融犯罪とサイバー犯罪の予防および検出方法としチームとサイバーリスクマネジメントチームにおける顧客て、十分に確立されています。サイバー犯罪に関連する向けの研修および認識共有の最適化のための連携。金

可能性のある特定の取引タイプや顧客プロファイルに関融犯罪やサイバー犯罪において、サイバー攻撃の脅威するリスク情報は、サイバー犯罪を示す可能性のある疑が時と共に変化したり、犯罪者がサイバー犯罪や詐欺をわしい活動を検知するシステムの能力向上に寄与します。

行うために新しい方法をとるため、顧客とのコミュニケー

13 Advisory on Cybercrime and Cyber-Enabled Crime Exploiting the Coronavirus Disease 2019 (COVID-19) Pandemic, FinCEN Advisory, July 30,
2020, www.ﬁncen.gov/sites/default/ﬁles/advisory/2020-07-30/FinCEN%20Advisory%20Covid%20Cybercrime%20508%20FINAL.pdf.
14 Follow the Money: Understanding the Money Laundering Techniques That Support Large-Scale Cyber-Heists, BAE Systems and The Society for
Worldwide Interbank Financial Telecommunication, 2020, www.swift.com/sites/default/ﬁles/ﬁles/swift_bae_report_Follow-The%20Money.
pdf.

protiviti.jp

Compliance Insights • 5

ションや認識共有が特に重要です。多くの顧客は、金融ては、脆弱な顧客など特定の顧客グループのニーズを犯罪やサイバー犯罪で悪用されるさまざまな方法の認識特に取り上げる必要があります。

を深めていますが、企業の顧客向けの教育活動におい結論
テクノロジーの進化は、私たちの働き方や生活に大きな可行犯に関するリスク評価、厳格なモニタリングおよび検知能性をもたらしますが、同時に、ますます巧妙で広範囲に及の強化の余地があります。テクノロジーがさらに発展し、テんだサイバー犯罪のリスクも伴います。金融犯罪は従来、クノロジーを金融犯罪に悪用する犯罪者が増加するにつサイバー犯罪と別々に管理されてきましたが、金融機関がよれ、サイバーセキュリティと金融犯罪に係るコンプライアンり総合的なアプローチをとることで、その予防と検知を向上

ス強化は、あらゆるレベルにおける積極的かつ広範囲の対させることが可能です。サイバーセキュリティと金融犯罪の応が必要な問題になると考えられます。

コンプライアンスには、情報共有、分析、サイバー犯罪の実

著者についてCarol Beaumier は、プロティビティのリスク・コンプライ会計監査人の庁内外での連絡役も務めた。ボーミエは、アンス部門のシニア・マネージング・ディレクターで、同社規制やその他のリスク問題に関して頻繁に執筆や講演をの APAC 金融サービス部門のリーダーを務める。メトロ行っている。

D.C. を拠点に、複数の業界にわたる幅広い規制問題に携わってきた経験を持つ。プロティビティに入社する以前は、

Bernadine Reese は、プロティビティのリスク・コンプライ

アーサー・アンダーセンのレギュラトリー・リスク・サービ

アンス・プラクティスのマネージング・ディレクターである。

スのパートナー、セキュラ・グループのマネージング・ディ

現在、ロンドンを拠点に、金融サービス業界のクライアントとレクター兼創業パートナーとして、リスクマネジメントの実務リスクおよび規制に関するアドバイザリー業務に携わってを統括。コンサルティングの前は、米国通貨監督庁（OCC）きた経験を持っている。マネー・ローンダリング対策や制に 11 年間勤務し、審査官として多国籍銀行や国際銀行に裁コンプライアンスを含む金融犯罪法に関する対応にお重点を置いていた。また、会計監査人のエグゼクティブアいて、さまざまな金融機関と協働している。

シスタント、OCC のシニアマネジメントチームのメンバー、プロティビティの金融犯罪とサイバーセキュリティのプラクティスについて
プロティビティの金融犯罪プラクティスは、金融機関が規制当社の金融犯罪対策のスペシャリストは、当社のサイバー上の義務を果たし、AML/CFT および制裁リスク評価、統セキュリティ・プラクティスと連携し、進化するプライバシー制強化、効果的なオペレーショナルリスクとコンプライアンリスクを金融機関が理解、管理し、サイバーセキュリティガスのフレームワークを提供する変更能力を組み合わせて、バナンスを調整し、利害関係者と効果的にコミュニケーショ

金融犯罪のエクスポージャーを減らすための支援を専門ンできるよう支援します。当社のサイバーチームは、機密としています。当社の専門チームは、金融犯罪、詐欺、汚職、データを保護するための脆弱性を特定し、実行可能な改善職業上の不正行為、その他の金融ビジネスリスク問題に対提案を行うことにより、ビジネス価値の維持に貢献します。

する企業の脆弱性について積極的に助言し、企業のブランドと評判を保護することを支援します。
プロティビティは、企業のリーダーが自信をもって未来に立ち向かうために、高い専門性と客観性のある洞察力や、お客様ごとに的確なアプローチを提供し、ゆるぎない最善の連携を約束するグローバルコンサルティングファームです。25ヶ国、プロティビティとそのメンバーファームはクライアントに、ガバナンス、リスク、内部監査、経理財務、テクノロジー、オペレーション、データ分析におけるコンサルティングサービス85 を超える拠点で、を提供しています。プロティビティは、成長著しい中小企業や、上場を目指している企業、政府機関等も支援してFortune 1000 の 60 ％以上、Fortune Global 500 の 35 ％の企業にサービスを提供しています。また、います。プロティビティは、の 100 ％子会社です。
1948 年に設立され現在 S&P500 の一社であるRobert Half International（RHI）© 2023 Protiviti Inc. All rights reserved. 複写禁、転載禁