単純なパスワードを上回る速さで金融犯罪の脅威が拡大
2026年11月6日にホーチミン市で開かれたベトナム・デジタル金融セキュリティフォーラムで示された統計によると、ベトナムの利用者が保有する約190万のアカウントで、依然として「123456」のような推測しやすいパスワードが使われている。銀行が不審な送金を検知し、盗まれた資金の回収を支援するシステムの拡充を進める中で、警鐘が鳴らされた。
目次
公安省サイバーセキュリティ・ハイテク犯罪防止局（A05）の副局長、グエン・バー・ソン大佐によると、当局は2026年上半期に、資産を盗まれるオンライン詐欺事件を約1,000件記録した。被害額は数兆ベトナムドンに上った。
金融機関は複数の課題に直面している。犯罪者は人工知能（AI）を使って攻撃の準備を速め、顧客はなりすましの被害に遭いやすい一方、一部の組織では基本的なセキュリティ対策がまだ整っていない。その間にも、デジタル決済は多くの人々にとって日常的なサービスになっている。
ベトナム国家銀行情報技術局のホアン・ミン・ティエン副局長が示した統計は、その規模を示している。ベトナムでは2026年最初の8カ月間に、26京ドンを超える価値に相当する200億件以上のキャッシュレス取引が処理された。多くの信用機関では、取引の95％以上をデジタルチャネルが占める。
フォーラムには、国家サイバーセキュリティ協会、ベトナム投資メディアグループ、国家銀行、ベトナム銀行協会が参加した。議論では、推測しやすいパスワードという身近な弱点と、不正な決済の前後を通じて顧客を守るという、より幅広い課題が結びつけられた。
攻撃は減少、被害を報告する組織は増加
国家サイバーセキュリティ協会の2025年調査・研究報告書は、同年にベトナムが約55万2,000件のサイバー攻撃を受けたと推計した。2024年から19.38％減少した。同協会技術局は2025年12月、5,300を超える組織から回答を得て調査を実施した。
政府による調査概要によると、被害を報告した機関・企業の割合は2025年に52.30％となり、2024年の46.15％から上昇した。推定攻撃件数が減る一方で、6.15ポイント増加したことになる。
同協会は、攻撃者が標的をより慎重に選び、綿密に準備し、侵入先でより深く活動するようになっていると指摘した。したがって組織にとって、侵入の試行回数だけでなく、侵入によってどのような被害が生じるかも現実的な脅威となる。
フォーラムで示された国家サイバーセキュリティ協会とベトテル・サイバーセキュリティの統計によると、攻撃の約41％が金融・銀行分野を標的としていた。ソン氏も、この分野は国際的なハッカー集団やサイバー犯罪者にとって優先的な標的だと述べた。
盗まれたデータが長期的な被害につながる理由
同協会は2025年に多く見られた攻撃として、サービス妨害、賭博広告リンクの挿入、標的型サイバースパイ活動、データ窃取、ランサムウェアの5種類を挙げた。サービス妨害攻撃は大量の通信でサービスを圧倒する。ランサムウェアは情報を暗号化して利用できなくし、復元と引き換えに金銭を要求する。
攻撃者はこうした手法を組み合わせることがある。同協会によると、セキュリティ担当者の注意をそらす妨害攻撃の間に、侵入者がネットワークの別の領域へ密かに侵入し、悪意あるソフトウェアをインストールして潜伏するケースがある。
同協会技術局の責任者、ブー・ゴック・ソン氏は、犯罪者がまず貴重な情報を盗み、販売や交換、さらなる悪用に利用する手順を説明した。その後、追加で盗めるものがなくなると、被害者のデータを暗号化して身代金を要求する。
そのため、銀行や企業がシステムを復旧させた後も、顧客情報が危険にさらされ続ける可能性がある。バックアップは組織によるファイルの復旧に役立つが、窃取を防ぐには、情報にアクセスできる人を制限する対策や、異常なアクセスを検知するシステムが必要だ。
同協会の2025年評価では、データへの侵入と窃取が最も深刻な被害をもたらした事案に含まれた。2026年の予測では、データセキュリティとAIで自動化された攻撃が主要な懸念として挙げられ、銀行分野のリスクをめぐるフォーラムの議論でも同様の警告が示された。
AIが銀行業務と犯罪の双方を加速
ソン氏によると、犯罪者はAIを使い、脆弱性の探索や攻撃の準備にかかる時間を短縮している。以前は数カ月かかることもあった大規模な金融情報システムへの攻撃準備を、現在ははるかに短期間で終えられるという。具体的な期間は示さなかった。
ベトナム銀行協会の副会長兼事務局長で、国家銀行の元常勤副総裁でもあるダオ・ミン・トゥ博士は、顧客が自ら操作するアプリを超えたサービスへと銀行業界が進んでいると説明した。銀行は、顧客とやり取りし、自動的に支援するサービスの開発を進めている。
トゥ氏によると、ベトナム企業の約80％がAIを導入し、信用機関の70％超が信用審査、電子本人確認、不正検知、マネーロンダリング対策の審査などに活用している。信用審査は借り手の返済能力を評価し、電子本人確認は遠隔で顧客の身元を確認する。
HDBankの副総裁ダム・テ・タイ氏は、取引中に不正を検知するAIを銀行が試験導入していると述べた。自動信用審査・承認も並行して進めており、所要時間は2～3分だという。
導入の準備状況にはばらつきが残る。フォーラムで引用されたシスコのAI準備度指数によると、AI導入の準備が完全に整っているベトナム企業は13％にとどまった。約63％は、技術インフラの拡張・適応能力の向上を最優先課題に挙げた。AIツールを導入することと、安全に活用するためのデータ、設備、管理体制を整えることは、導入の異なる段階だ。
脆弱なパスワードと巧妙ななりすまし
単純なパスワードを使う約190万のアカウントは、顧客側の弱点を浮き彫りにしている。「123456」のように予測しやすい文字列は、犯罪者がアカウントへの侵入を試みる際の足がかりとなる。
フォーラムで示された調査結果によると、ディープフェイクを懸念すると答えた人は36％にとどまり、対象となったリスクの中で最も低かった。ディープフェイクとは、AIで生成または加工し、実際には言っていないことを誰かが話したように、あるいは実際にはしていないことをしたように見せる画像、動画、音声を指す。
トゥ氏は、犯罪者が偽の身元と綿密に準備した詐欺の筋書きを組み合わせ、利用者自身に送金させることができると警告した。こうした詐欺は、銀行アプリへの明白な侵入を試みるのではなく、見慣れた顔や声を装って顧客に接触する場合がある。
タイ氏は、銀行の技術に加えて、顧客の知識と信頼が不可欠だと主張した。銀行、通信会社、電子ウォレット、デジタルプラットフォーム、規制当局が連携し、デジタルサービスへの共通の信頼を築くよう呼びかけた。
調査対象となったアカウントの総数と、脆弱なパスワードの特定方法は、フォーラムの統計では明らかにされていない。そのため、約190万という数字には、ベトナムのアカウント全体に占める割合が示されていない。
飲食店でのカード盗難が別の盲点を露呈
ソン氏は2025年に発覚した事件について説明した。高級飲食店の従業員を装った容疑者が、顧客から決済のために銀行カードを預かる際、カードのICチップを密かに取り外していた。
容疑者は取り外したチップを別のカード基材に取り付けてカードを作り、発売されたばかりのiPhoneを複数台購入した。被害額は2億ドン超、約7,700米ドルに上った。
その後、警察は国家銀行と連携し、商業銀行に通知するとともに、ICチップ搭載の物理カードを使うサービスの点検と調整を要請した。
この事件は、セキュリティ上の課題がパスワードや銀行アプリにとどまらないことを示している。顧客のカードは、店舗や飲食店の従業員、決済手続きにも関わる。銀行がデジタルネットワークの保護に注力する一方で、犯罪者はカードの取り扱いの隙を突くことができる。
警告により不審な決済をすでに阻止
ティエン氏が示した統計によると、国家銀行の監視システムは約100の金融機関と接続し、違反の兆候がある66万8,000超のアカウントを特定した。銀行は数百万件の警告を出し、数兆ドンに相当する資金の回収や一時凍結に連携して取り組んだ。
決済リスク管理、監視、不正防止を支援する情報システム「SIMO」は、2025年から2026年10月までに顧客へ580万件の警告を送信した。これを受け、顧客が不審な取引を停止または取り消した事例は約190万件に上り、金額は約7兆2,000億ドンに達した。
この数字は、警告約3件につき取引が1件、停止または取り消された計算になる。集計対象は警告と顧客の対応の件数であるため、複数の警告を受けた顧客は重複して数えられる可能性がある。
SIMOによる約190万件の取引停止・取消事例は、決済に関する警告を指す。一方、同程度の規模にある脆弱なパスワードの数字は、アカウントのセキュリティに関するものだ。この2つの数字は、アカウントへのアクセスと送金の判断という、保護が必要な2つの場面を示している。
顧客にとって警告は、資金が移動する前に立ち止まる機会となる。銀行や警察にとっては、情報の連携によって不審な資金の移動先を特定し、迅速な対応を支援できる。
銀行間で盗まれた資金を追跡
公安省と国家銀行は、詐欺に関連する資金の銀行口座間の移動を追跡する仕組みを整えている。ソン氏によると、両機関は11月6日のフォーラム開催3日前に実務者会合を開き、資金の流れを追跡・照合する試験システムについて協議した。
銀行プログラムに関して示された詳細によると、銀行間の送金を追跡して緊急に差し止める試験運用は、2026年6月に大手商業銀行で始まり、2027年第1四半期にシステム全体へ拡大する計画だ。ソン氏の説明では、11月初旬の会合でさらに協議が行われた。
犯罪者は盗んだ資金を数分以内に複数の口座や仲介者を経由させることがあるため、対応の速さが重要だ。最初に資金を受け取った銀行だけに対応が限られれば、資金が別の場所へ移るにつれて追跡が難しくなる。
主な日付と期間は以下の通り。
- 2025年12月：国家サイバーセキュリティ協会が年次評価に向け、5,300を超える組織を調査。
- 2026年1～6月：当局が資産を盗まれるオンライン詐欺事件を約1,000件記録。
- 2026年6月：銀行プログラムで、銀行間送金の緊急追跡・差し止めの試験運用を開始する予定時期。
- 2026年11月3日：フォーラムの3日前に開かれた会合で、警察と国家銀行が資金追跡・照合システム案を協議したとソン氏が説明。
- 2027年第1四半期：追跡ソリューションを銀行システム全体に拡大する予定。
トゥ氏は、機関がセキュリティとプライバシーの規則に基づいて情報を共有できるよう、統一的な金融データ基盤の構築を求めた。タイ氏も、銀行、通信事業者、電子ウォレット、認可を受けたデジタル資産取引所の間で、詐欺の警告をリアルタイムに共有するよう提案した。
セキュリティ投資の一方で基本的な対策に不足
ティエン氏によると、商業銀行はデジタル変革投資の約17.2％を情報安全とサイバーセキュリティに充てている。同氏はリスク評価、セキュリティテスト、インシデント対応訓練、技術供給業者の監督も求めた。
機関や企業を対象とした同協会の広範な調査では、対策の進展も見られた。サイバーセキュリティの啓発研修を実施した組織は75.93％、セキュリティ訓練を実施した組織は51.45％、セキュリティ運用センターを導入済みまたは運用中の組織は51.65％、バックアップシステムを備える組織は76.35％だった。セキュリティ運用センターは、監視とインシデント対応を一元化する。
調査対象組織全体では、基本的な弱点が残っていた。サイバーセキュリティ担当者がいない組織は47.72％、社内のサイバーセキュリティ基準がない組織は27.80％、悪意あるプログラムに対抗するソフトウェアを一元管理していない組織は51.87％だった。
さらに、8.71％はウイルス対策ソフトを一切使用しておらず、9.38％はファイアウォールなど、インターネットへのアクセスを管理する対策を講じていなかった。これらは商業銀行だけでなく、機関や企業を含む広範な組織調査の数字だ。
実務上の課題は、従業員への研修と組織全体にわたる保護体制の維持との間にある。研修は職員が危険を見分ける助けとなるが、効果的な防御には、システムを監視する人員、ソフトウェアの一貫した導入、攻撃を受けた場合の対応手順の訓練も必要だ。
データ規制と量子コンピューターへの備え
トゥ氏は、ベトナムのデータ法と個人データ保護法に基づき、銀行情報、個人情報、生体データの保護を強化するよう提案した。生体データには、本人確認に使う顔や指紋などの身体的特徴が含まれる。
重要なデータをベトナム国内の安全なデータセンターで保存・処理するよう求めた。また、AIシステムの管理責任を明確にし、高額または機微な取引では人間の承認を必須にすることも提案した。
データの標準化が不十分で、AIモデルの管理が弱ければ、自動化された判断と顧客のプライバシーの双方に影響が出る可能性があるとトゥ氏は警告した。迅速な判断を行う銀行システムにも、信頼できる情報と、機微な処理を確認する明確な手順が必要だ。
量子コンピューターは、より長期的な懸念となる。トゥ氏は、量子コンピューターの計算能力が、決済、デジタル署名、銀行データを保護する従来型の暗号の一部を脅かす可能性があると警告した。デジタル署名は、電子的な指示を誰が承認したのか、またその内容が改ざんされていないかを確認するのに役立つ。
トゥ氏は、銀行に対し、現在の暗号方式への依存度を評価し、量子コンピューターによる攻撃への耐性を持つよう設計されたポスト量子暗号への移行を計画するよう促した。約89％のベトナム成人が決済口座を持つ中、デジタルバンキングの保護は日常的な金融サービスを守る一環になっているとして、同氏は技術面の備えと社会の信頼を結びつけた。
要点
- 2026年11月6日の金融セキュリティフォーラムで示された統計によると、ベトナムでは約190万のアカウントで依然として単純なパスワードが使われている。
- ベトナムでは2025年に約55万2,000件のサイバー攻撃があったと推計される。攻撃件数は19.38％減少した一方、被害を報告した調査対象組織の割合は52.30％に上昇した。
- 当局は2026年上半期にオンライン詐欺事件を約1,000件記録し、被害額は数兆ドンに上った。
- SIMOは2026年10月までに580万件の警告を送り、顧客が不審な取引を停止・取消した事例は約190万件、金額は約7兆2,000億ドンに達した。
- 詐欺収益の疑いがある資金を追跡し、緊急に差し止める試験運用は、2027年第1四半期に銀行システム全体へ拡大する計画だ。
- フォーラムでは、データ保護の強化、詐欺警告の共有、AIによる機微な判断への人間の関与、量子コンピューターのリスクへの備えが提案された。
