ブラジルの決済システムを狙うサイバー犯罪集団「Breeze Comet」の手口が判明――GoogleとMandiantが詳細を報告

要点

• Google Threat Intelligence Group（GTIG）とMandiantは、ブラジルの金融や決済システムを標的に不正送金を繰り返すサイバー犯罪集団「Breeze Comet」の攻撃手口を公開した。

• 同グループは2023年9月頃から活動しており、即時決済システム「Pix」などを悪用して数万米ドル規模の不正送金を成功させている。

• 侵入経路はITサポートを装った連絡、脆弱なサーバーの悪用、店舗ネットワークへの不正デバイスの物理接続など多岐にわたる。

• 通信の中継にはRust言語で開発された独自マルウェア「COBALTSPIN」を使い、ファイアウォールを回避して金融APIへのアクセスを維持していた。

• 不正送金の完遂には、国家金融ネットワークへの接続やmTLS認証情報の窃取、組織内の送金処理手順の深い把握といった高度な条件を満たす必要がある。

• Google Threat Intelligence Group（GTIG）およびMandiantは、ブラジルの金融サービスや小売、電子商取引（EC）企業を標的とするサイバー犯罪グループ「Breeze Comet」に関する調査レポートを発表した。発表によると、同グループは現地の決済システムや銀行ソフトウェアを不正に操作して送金を実行する手口を専門としており、これまでに少なくとも数万米ドル相当の資産を窃取した事例が確認されているという。

金融・決済インフラを狙う「Breeze Comet」の正体

Breeze Cometは、かつて「UNC5669」として追跡されていた金銭目的の脅威アクターである。セキュリティ企業のCrowdStrikeやTrend Microにおいては、「Plump Spider」や「SHADOW-AETHER-064」といった名称でも観測されている。CrowdStrikeの分析によれば、このグループはブラジル国内を拠点に2023年9月から活動を続けており、企業の内部決済システムへ不正アクセスして利益を得ている。

主な標的は、ブラジルの即時決済システム「Pix」や資金移動システム「STR」、請求書決済システム「Boleto」などの決済APIや銀行ソフトウェアへのアクセス権を持つ組織だ。銀行や決済代行業者はもちろんのこと、小売業者、暗号資産などの取引所、フィンテック企業、銀行向けソフトウェアの開発企業まで幅広い事業者が狙われている。

巧みなソーシャルエンジニアリングと物理的侵入

Breeze Cometの初期侵入手法は非常に多様である。代表的な手口の一つが、パスワードを総当たりで試すパスワードスプレー攻撃や、ITサポート担当者を装って電話をかける手法だ。攻撃者は相手を巧みに誘導し、AnyDeskなどのRMM（遠隔から端末を監視・操作するための管理ツール）をインストールさせる。セキュリティ企業のAxurが報告した2025年11月の事例では、攻撃者がWhatsApp上で社内サポートを装い、社内アプリケーションの更新と偽って偵察用のPowerShellスクリプトを実行させたケースもあったという。

また、インターネット上に露出した脆弱なJBoss ASサーバーを標的にしてWebシェル（Webサーバー上で遠隔操作を可能にする不正プログラム）を設置し、そこから通信中継ツール「Chisel」などを送り込む手法も確認されている。さらに驚くべきことに、小売店舗の構内ネットワークに不正なハードウェアデバイスを物理的に直接接続し、そこを足場にして内部システムへ侵入を広げる手口も用いられていた。

侵害された政府サイトのインフラ悪用と国外への拡大

攻撃の過程では、ブラジルの地方自治体など小規模な政府機関の侵害済みWebサイトが悪用されている。攻撃者はこれらの正規サイトを、マルウェアの配布場所や、不正プログラムに指令を送るC2（コマンド＆コントロール）サーバーの通信先として利用していた。正規のドメインを経由させることで、セキュリティフィルターによる検知を回避する狙いがある。

配布されるファイルには、RMMツールや、税金・領収書関連の公式文書に見せかけた情報窃取ツール、バックドア「XWorm」などが含まれる。同様のインフラ悪用はナイジェリア、パラグアイ、ガーナ、ベネズエラでも確認されており、Googleは攻撃グループが中南米やアフリカの他国へ活動拠点を拡大しようとしている可能性があると指摘している。

独自マルウェア「COBALTSPIN」と高度な持続化手法

組織内に足場を築いた後の横展開や権限昇格には、Impacketなどの公開ツールに加え、LDAPを総当たりで探索する独自ツール「REALBREEZE」が使われている。遠隔操作には不正なRDP（リモートデスクトップ接続）やSMBファイル共有が用いられる。

金融APIインフラとの通信を維持するために投入されるのが、Rust言語で書かれた独自ツール「COBALTSPIN」だ。COBALTSPINはWebSocket通信上でリバースSOCKS5プロキシ（内部から外部への中継経路を確立する仕組み）を構成する。これにより、ファイアウォールを通過してC2サーバーと標的端末の間で安全にトラフィックを中継し、永続化の痕跡を残さずに境界防御をすり抜ける。

また、アクセスの維持手法も年々高度化している。2024年時点では商用RMMツールの配置が中心だったが、翌年には悪意あるKubernetesポッド（コンテナを動かす最小単位）を展開する手法へと進化し、窃取した認証情報を公開メモサイト「dontpad.com」へ外部送信する様子も確認された。さらに、正規のSoftEther VPNを自動構成してバックドア化するJava製ツール「LIGHTPAINT」や、受動的に待機するJava製バックドア「MILDFROST」など、複数の独自ツールを組み合わせてアクセス権を多重に確保している。

不正送金に至る4つの必須要件

Googleの分析によると、Breeze Cometが一連の攻撃によって実際に不正送金を成立させるには、以下の4つの条件をすべてクリアする必要があるという。

1. 国家金融ネットワークへのアクセス: すでに接続権限を保有している組織を経由して、ブラジルの国家金融システムネットワーク（RSFN）へ接続できること。
2. mTLS認証情報の入手: PixやSTRに対して認証済みの送金要求データを送信するために必要な、双方向TLS（mTLS）の電子証明書を入手していること。
3. 管理環境のアカウント掌握: 標的組織のActive Directoryやクラウド環境内の複数アカウントへのアクセス権を確保していること。
4. 業務フローと防御機構の熟知: 対象組織の送金処理手順、ネットワーク制御、フィンテック連携仕様、不正検知（アンチフロウド）システムの挙動を深く理解していること。

単にネットワークへ侵入するだけでなく、金融インフラの仕様や業務手順まで徹底的に把握した上で攻撃が実行されている実態が浮き彫りとなっている。

補足

ブラジルでは中央銀行主導の即時決済システム「Pix」が社会インフラとして急速に定着しており、これらと接続する金融機関や決済代行事業者には、より厳格な認証情報の保護と内部監視体制が求められている。