ブラジル即時決済Pixを狙う「Banana RAT」が示す、新興国フィンテックインフラの脆弱性
トレンドマイクロが2026年6月に発表した調査で、ブラジルの即時決済システムPixを標的とするバンキングマルウェア「Banana RAT」の存在が明らかになりました。このマルウェアは銀行セッションをリアルタイムで傍受し、送金フローそのものを改ざんすることで、利用者が気づかないうちに資金を詐取する仕組みを持っています。攻撃対象はブラジル国内の主要銀行に及び、同国の金融インフラ全体に波及するリスクが懸念されています。本稿では、Pixという即時決済インフラの構造をふまえて攻撃手口を整理し、日本の少額送金サービス「ことら送金」への示唆と、国際送金に関わる事業者が取るべき多層防御策を解説します。
参考: ブラジルの即時決済「Pix」を悪用する新たなバンキングマルウェアが確認（Trend Micro）
Pixとは何か――中央銀行主導の即時決済インフラ
Pixは、ブラジル中央銀行が2020年に稼働させた即時決済システムです。24時間365日、原則として数秒で着金が完了し、個人間送金は基本的に無料という設計が特徴です。送金先の指定には、電話番号やメールアドレス、納税者番号などを口座に紐付けた「Pixキー」を用いるため、口座番号を知らなくても送金できる利便性があります。こうした中央銀行主導のファストペイメントは世界的な潮流であり、インドのUPIやタイのPromptPayなど新興国を中心に導入が相次いでいます。国際決済の標準化や各国決済システムの相互接続については、国際決済銀行（BIS）が継続的に調査・提言を行っており、即時決済の普及とともに不正利用対策が共通の課題として指摘されています。利便性の高いインフラほど攻撃者にとっても「効率の良い標的」になるという構図が、今回のBanana RATで現実のものとなりました。
分析・見解――「即時性」が資金回収を不可能にする
Banana RATが浮き彫りにしたのは、即時決済システム特有のセキュリティジレンマです。Pixは導入以降、わずか数年で国民の7割以上が利用する国民的インフラへと成長しました。24時間365日、数秒で送金が完了する利便性が爆発的普及を支えた一方で、この「即時性」こそが攻撃者に悪用される結果となっています。
従来のバンキングマルウェアは認証情報を窃取して後から不正送金を実行する手法が主流でしたが、Banana RATはセッション傍受とリアルタイム改ざんを組み合わせることで、利用者が送金操作を行っている最中に送金先を書き換えます。利用者の画面には正規の送金先が表示され続けるため、取引完了まで詐欺に気づくことができません。この手口は、即時決済システムが「承認から着金まで数秒」という特性を持つがゆえに、発覚後の資金回収をほぼ不可能にします。銀行の不正検知システムも、正規のセッション内で実行される送金を異常と判定することは困難です。
新興国の金融インフラは、普及速度を優先するあまりセキュリティ設計が後回しになりがちです。Pixも導入時は利用者認証の標準化が不十分で、各銀行が独自実装を行った結果、セキュリティレベルにばらつきが生じました。インフラ全体の安全性は「最も弱い参加銀行」の水準に引きずられるという教訓は、参加金融機関が多い即時決済網に共通するものです。
日本の「ことら送金」と国内即時決済への示唆
日本でも2022年に、メガバンク等の出資により設立された株式会社ことらが運営する少額送金サービス「ことら送金」が始まり、1回10万円以下の個人間送金を携帯電話番号などで即時に行える環境が整いつつあります。電話番号を送金キーとして使う設計はPixキーと発想が近く、普及が進めばPixと同様の攻撃シナリオが成立し得ることを、ブラジルの事例は示しています。国内ではすでにインターネットバンキングの不正送金被害が深刻化しており、金融庁はフィッシング等による不正送金への注意喚起や金融機関への対策要請を繰り返し行っています。日本の資金移動業者は資金決済法に基づく登録と利用者資金の保全義務を負い、犯罪収益移転防止法に基づく取引時確認も求められますが、これらは主にマネーロンダリング対策の枠組みであり、Banana RATのようなセッション乗っ取り型のマルウェアを直接防ぐものではありません。制度面の規制遵守と、技術面のエンドポイント対策・取引監視を別個に積み上げる必要があります。
ビジネスへの影響――送金事業者が取るべき多層防御策
ブラジル向けに送金業務を展開する企業や、同国市場への進出を検討する企業は、Pix経由の受取人確認プロセスを見直すべきです。具体的には、初回送金時の本人確認強化、送金先アカウントの事前登録制、高額送金時の二段階承認などを導入することで、マルウェアによる改ざんリスクを低減できます。WiseやRevolut、PayPalといった国際的な送金・決済サービスが採用している、新規受取人追加時の追加認証や送金前のクーリング期間の設定は、即時決済を扱う事業者にとって参考になる実務です。
また、即時決済システムを自社サービスに組み込む際は、多層防御の設計が不可欠です。振込実行前の送金先情報の再表示、異常な送金パターンの機械学習による検知、デバイスフィンガープリント認証などを組み合わせることで、セッション傍受型攻撃への耐性を高められます。国際送金業者にとっては、送金先国のインフラ脆弱性も評価対象に含めるべき時代になったといえます。新興国市場は成長性が高い反面、こうしたサイバーリスクが顕在化しやすく、顧客資産保護の観点から慎重なリスク管理が求められます。即時決済の「便利さ」と「取り消せなさ」は表裏一体であり、送金体験の設計段階で安全側の摩擦を意図的に残すことが、結果として利用者の信頼と事業の持続性を守ることになります。