三菱UFJ銀行は金曜、10月1日から5千万円を超える外向き送金にローテーションするコールバックコードと、二名の権限者による音声確認を必須にすると法人口座顧客に伝えた。金融庁検査官が、配当・賞与支払シーズンでメールのみの受取人更新が十分か問いかけたことが背景だ。国内の全銀高額レールと一部の越境SWIFTテンプレートに適用され、個人口座振込ではないが、毎年9月に製造業・商社の資金の大半を動かす財務デスクをカバーする。

政策の引き金

MUFGは通知で単一の侵害を挙げていない。コンプライアンス担当は今夏業界全体で見られた「合成音声・ディープフェイクのコールバック試行」と、共有経理メールボックスを侵害された後に受取人差し替えをほぼ承認した二社のクライアントを説明した。いずれの送金も実行されず、既存の二重承認がハッシュ不一致を捕捉したが、金融庁のフォローアップ書簡はメガバンクに、AI生成音声クローンに耐えるコールバック手順を証明するよう求めた。

5千万円の閾値は、MUFGがすでにハードウェアトークンを求める内部ティアと一致する。新層は、二名の別権限者に事前登録携帯のみ届く使い捨て数字コードを加え、攻撃者が時になりすますリレーションシップマネージャーではなく、録音回線でオペレーションスタッフに読み上げる。

誰が対応すべきか

閾値を超えるMUFG法人口座およそ1万2千件は9月28日までに登録しないと手動処理の遅延を受ける。MUFG系で法人ポータルをホワイトラベルする子銀行は段階的に同ルールを反映する。MUFG信託は、上限を超える不動産決済の信託口座送金も含むと述べた。

上限未満の中小企業は既存手順のままだが、設備購入で時折5千万円を超えるベンダー向けに、無料の任意コールバックコードも提供する。

手順の仕組み

財務担当はこれまで通り法人ポータルで送金を起票する。金額が閾値を超えると、二名の権限者が10分で失効するSMSサイズのコードを受け取るまでポータルはロックされる。MUFGオペレーションは、セッションに入力された番号ではなく事前登録番号へ発信し、受取人名の断片と目的コードを確認する。

録音は既存の送金不正コンプライアンススケジュールで保持する。MUFGは第三者コールセンターで検証しないとし、CRMメモを書き換えてプリペイド電話にコールバックを転送するソーシャルエンジニアリング経路を閉じる。

既知の限界

コールバックコードは内部不正や、二つの署名携帯が同時に侵害されたケースは止めない。SIMスワップで両方のSMSを通す決意のある攻撃者は依然通過可能だとMUFGは認め、録音音声と受取人断片確認を置いた。

SWIFTカットオフで越境送金が同日枠を逃す場合、シルバーウィークでコールバックが滞留する可能性がある。登録顧客向けに10月1〜3日はオペレーション時間を延長すると約束した。

規制の文脈

金融庁指針はすでに受取人変更の帯域外確認を推奨するが、数字の閾値は命じない。全国銀行協会のテンプレートは5千万円を一般的な業界ティアとして挙げるが、執行はばらつく。MUFGの動きは、SMBCやみずほが決算説明会で追随する目に見える基準を置く。

警察の不正統計は法人BEC損失がリテールフィッシングより速く増えている。一度日本を出た資金は検察が回収することは稀だ。保険会社はMUFGの録音コールバックが製造業クライアントのサイバーポリシー更新の前提になる可能性があると語る。

財務担当がすべきこと

共有iPadではなく財務リーダーが管理する携帯番号を登録する。配当ファイルが落ちる前に10月1日のフローをリハーサルする。「コールバック免除を事前承認」するメールは敵対的とみなす。MUFGは展開期間中メールで例外を認めないと述べた。

送金がコールバック待ちで止まったら、別受取人詳細を載せたフォローメッセージを信じず、ポータルのステータス画面を使う。正当な送金が休日前後に遅れるとき攻撃者が悪用するパターンだ。

実装スケジュール

MUFGのRMは月曜から上位製造業向けウェビナーを始めた。録画は公開YouTubeではなく法人ポータルログインの内側に置き、攻撃者にコールバッククイズの台本を渡さない。登録率は社内で金曜公開する。遅れれば、BEC組が試す猶予例外を出すより未登録顧客の高額送金を凍結すると述べた。

MUFGの展開を見る他行は、10月の業界協会会合で閾値を揃え、同じ仕入支払ランで銀行ごとに別コールバック規則を維持しないよう調整する可能性があるとInfoHandleに語った。