知るメモ｜2025年【ブラジルの銀行・金融インフラで何が起きていたのか】｜サイバー攻撃、システム障害、賄賂まで～フィンテック先進国の実情

「銀行アプリにログインできない」「送金できない」「残高が表示されない」。
これは過去の話ではなく、2025年のブラジルで実際に起きている日常的な不具合です。
直近でも、12月12日にブラジル大手 ブラデスコ（Bradesco）銀行で長時間にわたるアプリ・インターネットバンキング障害 が発生し、個人利用者を中心に送金・支払い・残高確認ができない状態が広がりました。
重要なのは、こうした事象が単なる「システムトラブル」なのか、それとも「サイバー攻撃の影響」なのか部外者からは見分けがつかないケースが増えているという点です。

今回は、2025年にブラジルの銀行・金融インフラで何が起きていたのかを、ひとつの記事としてまとめます。

結論から言うと、今年のブラジル金融界は

• システム障害が多発

• サイバー攻撃が高度化・大型化

• 銀行単体ではなく金融エコシステム全体が狙われた

そんな一年でした。

◆2025年の主要事例：実際に起きたサイバー攻撃と不具合

ここからは、2025年にブラジルで実際に起きた代表的な事例を、少し詳しく見ていきます。

① 中央銀行決済インフラを揺るがしたサプライチェーン攻撃（6〜7月）

2025年最大級の事件が、ブラジル中央銀行と金融機関を接続する決済インフラ関連企業（C&M Software）への侵害でした。

この事件の特徴は、銀行本体ではなく、中央銀行と銀行をつなぐ業者が侵害された点にあります。
攻撃者は、正規の決済ルートを悪用する形で大規模な不正送金を実行。
被害額は報道ベースで数億〜十億レアル（日本円で100億～280億円）規模に及ぶとされ、盗まれた資金の一部は暗号資産へ変換された可能性も指摘されました。

これは典型的なサプライチェーン攻撃であり、「銀行の守りが固くなった結果、より弱い接続点が狙われた」事例として、金融業界に強い衝撃を与えました。

② PIX決済を狙った不正取引・侵入の多発

ブラジルでの即時決済システム：PIX。
ブラジル中央銀行が開発、24時間365日利用可能で、QRコードやキーで送金が出来ます。
2025年を通して、そのPIX周辺は継続的に攻撃対象となりました。

• 決済代行会社

• 銀行向け基幹ソフト提供企業

• フィンテック事業者

などが侵害・不正試行の舞台となり、数億レアル規模の不正取引が試みられたケースも報告されています。

PIXは即時送金という利便性が高い一方で、盗み出された正規の認証情報を使われると、迅速かつアラートを回避しながら資金を流出させることを可能にしました。
これにより、不正な取引が「正当な取引」として処理され、被害が拡大してしまう可能性が高いのです。
そのため2025年は、PIXを中心に技術的侵入や認証情報の悪用、内部不正を伴う攻撃が集中した年となりました。

③ フィンテック企業への繰り返される侵害（Monbankなど）

銀行ではなく、銀行につながるフィンテック企業が狙われた例も目立ちました。
フィンテックとは、金融（Finance）と技術（Technology）を組み合わせた造語で、その企業はAIやビッグデータ、ブロックチェーンなどの先端技術を活用して革新的で便利な金融サービスを提供する。

攻撃者は、これらの外部ベンダーの従業員を狙ったソーシャルエンジニアリングにより、内部の認証情報（クレデンシャル）を不正に入手し、正規のPIX取引として巨額の送金を行いました。
南部ブラジルのフィンテック企業 Monbank では、2025年中に複数回のサイバー攻撃が発生。
不正な内部システムへの不正アクセスなどが確認され、一部は即時遮断されたものの、同じ年に三度目の攻撃を受けたと金融業界に警鐘を鳴らしました。

ブラジルは、グローバルな脅威だけでなく、国内のサイバー犯罪市場が存在しており、バンキングマルウェア、不正送金、カード詐欺などを専門に行う脅威アクターが協調して活動しています。
この国内市場も、ブラジルの金融システムへの継続的な脅威となっています。
特に、WhatsAppなどの普及しているメッセージングプラットフォームを悪用したソーシャルエンジニアリングや、バンキングトロイの木馬を拡散させる手口が進化しています。

これはブラジルにおいて、新興企業が急成長し、セキュリティ体制が発展途上という条件が重なったことで、そこが狙われやすいことを示しています。

④ 大手銀行の長時間システム障害（Bradesco ほか）

2025年後半には、大手銀行自身のシステム障害も相次ぎました。

特にBradescoでは、

• アプリにログインできない

• 残高・明細が表示されない

• PIXや支払いが使えない

といった状態が長時間継続し、SNS上で大きな混乱が発生しました。
銀行側は「技術的問題」と説明しましたが、使用している外部インフラの障害によるものか、サイバー攻撃等による予期せぬ過負荷によるものかの区別が外部からは分かりにくく、「障害なのか、攻撃なのか分からない」という不安そのものが、利用者体験を悪化させた事例と言えます。

◆不具合の原因となったのは何が起きていたのか

2025年のブラジルでは、次のような出来事が重なりました。

• クラウド障害（AWS・Cloudflare） による複数銀行の同時不具合

• 大手銀行（Bradesco など）の長時間アプリ障害

• PIX（即時決済）周辺を狙った不正取引・侵入

• 中央銀行決済網につながる業者が侵害されるサプライチェーン攻撃

一見バラバラに見えますが、実はすべて同じ構造的弱点につながっています。

●「銀行が落ちた」の正体は、銀行だけの問題じゃない

最近の金融機関が使うシステムは、もはや銀行単体の構造ではありません。

• クラウド（AWSなど）

• CDN・WAF（Cloudflareなど）

• 決済代行会社

• API連携サービス（PIX／オープンバンキング）

こうした外部サービスと強く結びついた巨大なネットワークです。
だからこそ、外部インフラが1か所不具合や遅延が出ると、複数の銀行が同時に使えなくなるという事態が普通に起きます。
2025年に見られた「複数銀行が一斉に不調になる日」は、ほとんどがこのパターンでした。

サイバー攻撃は「銀行」ではなく「つながり」を狙う

今年もっとも象徴的だったのが、中央銀行決済インフラにつながる業者が侵害された事件です。
これは、銀行本体を正面から叩く攻撃ではありません。
この間にいる企業を突破し踏み台にすることで、正規の決済ルートを使った不正送金が可能になりました。
これがいわゆる「サプライチェーン攻撃」です。

フィンテックやEコマースで急速なデジタル成長を遂げたにもかかわらず、ラテンアメリカ地域は「サイバーセキュリティへの慢性的な投資不足」と「専門家の不足」に苦しんでいると指摘されてもいます。
「一番守りが固いところ」ではなく、 「一番守りが弱い接続点」 を狙う。攻撃者の発想は、非常に合理的です。

なぜブラジルの銀行・決済網は狙われるのかー外部攻撃だけではない「賄賂・内部関与」による流出という現実

2025年の事例を語るうえで、もう一つ無視できない要素があります。
それが「金融機関・関連企業の内部関与（賄賂・協力）による不正」です。ブラジルでは近年、

• 銀行本体

• 決済代行会社

• フィンテック企業

• 金融インフラ関連ベンダー

において、従業員・元従業員・委託先関係者が関与した不正事件が断続的に摘発されています。

実例①：決済・金融インフラ企業の内部者が関与した不正送金

2025年に表面化した中央銀行接続企業（決済インフラ系）への侵害では、

• 単なる外部ハッキングではなく

• 内部情報を把握している人物の関与が強く疑われた

と報じられました。

具体的には、

• 認証フロー

• 接続仕様

• 監視の穴

といった、内部を知っていなければ成立しにくい手口が用いられていた点が注目されています。
これは「賄賂や金銭的見返りによって、内部情報が流された」ことで行われたケースとして扱われました。

実例②：PIX関連で繰り返し摘発される「内部協力型不正」

PIXを巡る犯罪では、ブラジル警察・検察が

• 銀行・決済会社の内部者

• コールセンター・オペレーション担当

• システム運用に近い委託社員

が関与した事件を複数摘発しています。

典型例は、

• 顧客情報の不正提供

• 不正送金を見逃すための内部操作

• 凍結・アラートを遅らせる協力

といった形です。

金額は一件ごとに見れば小さくても「即時決済 × 内部協力」が組み合わさることで、短時間に巨額が流出する構造が問題視されています。

なぜ内部者が狙われやすいのか

背景には、ブラジル特有というより新興金融市場に共通する要因があります。

• 金融・IT人材の流動性が高い

• 外注・委託が多い

• フィンテック急成長による統制の未成熟

• 経済格差が大きく、賄賂が成立しやすい環境

結果として、攻撃者にとっては「システムを破るより、人を落とした方が早い」という状況が生まれやすくなります。

サイバー攻撃・障害・内部不正が混ざる時代へ

2025年のブラジル金融トラブルの本質は、

• 外部からのサイバー攻撃

• システム障害

• 内部者による不正・情報流出

が単独ではなく、組み合わさって発生している点にあります。
そのため利用者から見ると、「ただ使えないだけ」
でも、裏側では「攻撃 × 人的要因 × インフラ依存」
が絡み合っているケースが増えているのです。

◆ブラジル当局と銀行はどう動いているのか

この状況を受けて、ブラジルでは

• 中央銀行による 第三者リスク管理の強化

• API・接続業者への セキュリティ要件引き上げ

• 銀行側の 監視・検知体制の強化

が進められています。

ただし、「便利さ × スピード × セキュリティ」の三つを同時に満たすのは簡単ではありません。
2025年は、その難しさが一気に表面化した年だったと言えます。

◆日本と比べると、何が同じで何が違うのか

ここで一度、日本の銀行・金融インフラと比較してみます。

共通点：日本も「同じ構造」を持っている

実は、日本とブラジルは 金融システムの方向性そのものはよく似ています。

• クラウド（AWS・Azure など）への依存

• API連携の拡大（オープンバンキング）

• スマホアプリ中心の取引

• 外部ベンダー・SIerへの依存

つまり、日本の銀行も「銀行単体では完結しない巨大なエコシステム」という点では、すでにブラジルと同じ構造にあります。
クラウド障害や外部ベンダー障害が起きれば、日本でも複数銀行が同時に影響を受ける可能性は十分にあります。

相違点①：即時決済の“止まり方”

ブラジルの PIX は

• 24時間

• 即時

• 個人間送金が完全にリアルタイム

という仕組みです。

一方、日本の振込・決済は

• 全銀ネットを中心とした集中型

• 夜間・休日は制限がかかる設計思想

• 不正検知後に「止める余地」が残る

という特徴があります。

そのため、

• ブラジル：突破されると一気に資金が動く

• 日本：時間的な緩衝材が残っている

という差があります。

ただし、日本でも即時決済・24時間化が進んでいますので、PIXと同じ課題に近づくことは避けられません。

相違点②：フィンテックと規模のスピード感

ブラジルでは

• デジタル銀行

• 新興フィンテック

• 決済スタートアップ

が極めて短期間で急成長しました。

その結果、セキュリティ成熟度にばらつきや「銀行より弱い接続点」が生まれるという状況が顕著になりました。

日本は、参入スピードが比較的遅く、規制・審査が厳しい分、爆発的な弱点は生まれにくい。
ですが、一度仕組みが固まると、変えるのが難しいという別のリスクを抱えてはいます。

◆おわりに

今回調べて強く感じたのは、ブラジルで起きていることは、日本や他国でも起こり得るという点です。

• クラウド依存

• API連携

• 即時決済

• フィンテック拡大

これらは世界共通の流れです。
2025年のブラジルは、 「少し早く未来を体験した国」 だったのかもしれません。
銀行障害やサイバー攻撃のニュースを見たとき、「またか…」で終わらせず、なぜ起きたのか、どこが狙われたのかを一段深く見る。
それが、これからの時代に大切になっていく気がします。

もしこの記事が役立ったら「スキ」やフォローしてくれると嬉しいです！
次回は「ふたご座流星群」について少し書いていますので、お時間あれば読んでみてください。

日々の出来事から日記代わりにいろいろ書いています。
前回の記事も時間がありましたら読んでみてください。