ブラジルの金融インフラを狙う『BREEZE COMET』 — GTIGとMandiantが決済乗っ取りの手口と生成AI悪用を報告

Google脅威インテリジェンスグループ（GTIG）とMandiantは2026年9月1日、ブラジルの金融サービスを標的とする金銭動機の攻撃者「BREEZE COMET」（旧称UNC5669）について詳細な分析を公表した。両組織は、2024年からブラジルの銀行や小売、eコマース企業で相次いだ侵害を追跡し、攻撃者が銀行ソフトウェアやPixなどの即時決済システムを直接操作して不正送金を行っていると報告した。攻撃者は独自のマルウェア群と、生成AI（大規模言語モデル）で作成した運用スクリプトを組み合わせ、複数の環境で同時に活動していた。

何が狙われたか — Pixなどの決済インフラを直接操作

BREEZE COMETが狙うのは、銀行ソフトウェアやAPIを通じて送金処理の権限を持つ組織である。具体的には、銀行、決済代行会社、小売、取引所、フィンテックや銀行ソフトウェアの提供者が対象で、ブラジルの即時決済「Pix」、準備金振替システム「STR」、請求書決済「Boleto」などを悪用する。

不正送金を実行するため、攻撃者は4つの条件を満たす必要があるとGTIGとMandiantは説明する。第一に、ブラジルの金融システムネットワーク（RSFN）へアクセスできる主体への侵入。第二に、PixやSTRへの認証付き取引電文を送るための相互TLS（mTLS）認証情報の窃取。第三に、Active Directoryやクラウド環境での永続的な複数アカウントの確保。第四に、組織の送金処理手順や不正検知の仕組みの理解である。

初期侵入は自治体サイトの乗っ取りと店舗への不正機器設置へ進化

初期侵入の手口は時間とともに変化した。初期の侵害では、パスワードスプレー（多数のアカウントに共通パスワードを試す攻撃）や、ITサポートを装う音声フィッシング（ビッシング）で利用者にAnyDeskなどの遠隔管理ツールをインストールさせる手口が確認された。セキュリティ企業Axurの分析では、組織内部の協力者を勧誘する試みもあったとされる。

2025年半ばには、GTIGはブラジルの小規模な自治体のWebサイトが乗っ取られ、遠隔管理ツールや税務書類を装うインフォスティーラ「ComprovantePDF.exe」やバックドア「XWORM」がホストされているのを確認した。XWORMは犯罪フォーラムで販売される汎用バックドアである。攻撃者はこれらの信頼された自治体ドメインを初期侵入の足場とC2（指令統制）拠点として悪用し、ドメインの評判フィルタを回避した。同じ手法はナイジェリア、パラグアイ、ガーナ、ベネズエラの自治体ドメインでも確認され、活動拡大の兆候とみられる。

さらに2025年には、小売店舗のネットワークに不正なハードウェア機器を直接接続して侵入口を確保する手口が初めて観測された。店舗のネットワークから内部システムへ横展開し、Netcat（ネットワーク通信ツール）と外部の公開ディレクトリから取得したスクリプトで追加の攻撃基盤を展開した。Trend Microは、JBoss ASサーバの脆弱性を突く初期侵入も報告している。

権限昇格と内部偵察 — CI/CDとmTLS認証情報を狙う

侵入後、攻撃者はImpacket、ADRecon、ADVipscanといった公開の偵察ツールをGitHubから取得し、PowerShellでメモリ上実行して防御を回避した。独自のLDAPブルートフォースツール「REALBREEZE」も投入した。

GTIGとMandiantが特に指摘するのは、開発・クラウド環境への執着である。攻撃者はCI/CD（継続的インテグレーション／継続的デリバリー）パイプラインを漁り、ハードコードされた認証情報やAPIキー、高い権限を持つクラウドのアクセストークンを窃取した。さらに、ホストのファイルや環境変数を独自スクリプトで探索し、「boleto」「cnab」「remessa」「webhook.*pix」「instant.*payment」といったキーワードで決済関連のmTLS認証情報や管理者証明書を探した。

横展開と独自トンネラー「COBALTSPIN」

横展開では、乗っ取ったサービスアカウントを悪用し、RDP（リモートデスクトップ）やSMB（ファイル共有）を用いて内部を移動した。内部サブネットを走査してSMB経路を列挙する動きも確認された。

セグメント化された金融ネットワークのファイアウォールを迂回するため、Rustで書かれた軽量なトンネラー「COBALTSPIN」を投入した。WebSocket上でリバースSOCKS5プロキシを確立し、C2と内部標的間でトラフィックを中継することで、永続化の仕組みを残さずに境界ファイアウォールを越えて金融API基盤へ到達する。

永続化 — 4種の多言語バックドアと防御無効化

2024年は市販の遠隔管理ツールに依存していたが、2025年以降は独自バックドアで冗長なアクセスを確保した。GTIGとMandiantが特定した主なバックドアは次の通りである。

• LIGHTPAINT（Java）：正規VPNであるSoftEtherを自動的にインストールして永続化する。Windows Defenderファイアウォールに全トラフィックを許可する受信規則を追加し、VPNプラグインのイベントログを消去して痕跡を隠す。
• MILDFROST（Java）：JVMプロセス内に潜む受動的なJARバックドアで、DNSトンネルで指令を受けるフォールバックC2として機能する。
• KICKPLATE（Nim）：Windows Updateヘルスツールを偽装し、SOCKS5トンネラーの制御やレジストリの自動起動設定、Windowsサービスの改変を行う。定期タスクやスタートアップのショートカット改変で永続化する。
• BOATBEAM（Go）：ポート443で偽のIIS HTTPSサーバとして振る舞い、特定のセッションCookieを受け取ったときのみC2機能を発動して通信を隠す。

攻撃者はさらに、Kubernetesの悪性Podを展開してクラウドの秘密情報を窃取し、dontpad[.]comのような公開メモサイトへ持ち出す手口も用いた。

防御を無効化するため、PowerShellコマンド「Set-MpPreference -DisableRealtimeMonitoring $true」でWindows Defenderのリアルタイム監視を無効化する動きもテレメトリで確認された。

生成AIで加速する運用

GTIGとMandiantは、BREEZE COMETが大規模言語モデルを活用してカスタムスクリプトの作成を加速させている証拠を特定した。回収されたスクリプトは機能的だが人間の癖が少なく、展開されたコード構造や冗長な説明コメント、標準化された実行ヘッダが特徴で、ネットワーク偵察や認証情報の検証、一括展開、データ窃取の自動化に使われていた。攻撃者はLLMにより開発サイクルを圧縮し、複数環境での同期攻撃に必要な運用負荷を下げていると分析している。

大量の不正送金と証拠隠滅

Mandiantが分析したフォレンジック証拠では、攻撃者がCOBALTSPINと奪取した特権アカウントを用いて中核の金融アプリケーションにアクセスし、アクセス確立から24〜48時間以内に数百件規模の不正取引を2回に分けて実行した事例が確認された。その後、攻撃者は横展開やAPI操作の痕跡を消すため、侵害したホストのイベントログを消去し、作成したディレクトリを削除した。少なくとも1件では数万米ドル規模の資産が窃取された。

日本の組織が学ぶべき対策 — GTIGとMandiantが推奨する防御

GTIGとMandiantは、ブラジル以外でも同様の決済インフラを狙うモデルが広がる可能性を指摘し、次の対策を推奨している。

• アプリケーション制御と未承認RMMのブロック：Windows WDACやmacOS Gatekeeperなどでユーザーが書き込み可能なディレクトリ（%APPDATA%や/tmpなど）での実行をブロックし、可搬型の遠隔管理ツールの実行を監査する。GTIGとMandiantは、ITサポートを装う手口への利用者教育も推奨している。
• 店舗・拠点のネットワーク物理対策：店舗の有線ポートで802.1Xによるネットワークアクセス制御（NAC）を導入し、未使用ポートの無効化やMAC制限で不正ハードウェアの接続を防ぐ。ネットワーク機器の物理的なアクセス制限も求めている。
• Active Directoryと認証情報の強化：PowerShellの制約言語モード（Constrained Language Mode）やスクリプトブロックログ、AMSI（マルウェア対策スキャンインターフェース）でメモリ上実行を検知し、外部公開ポータルではフィッシング耐性のある多要素認証を必須化することを推奨している。
• CI/CDとmTLS認証情報の保護：CI/CDパイプラインにハードコードされた秘密情報を排除し、mTLSの秘密鍵や証明書はハードウェアセキュリティモジュール（HSM）で保護することを呼びかけている。
• 通信の可視化と分割：ドメイン評判への依存ではなくSSL/TLSの復号と深いパケット検査（DPI）で外部通信を監視し、不要な外部ポートのブロックやSMB（445番）・RDP（3389番）のワークステーション間通信の遮断を推奨している。

日本の金融機関や小売、クラウドを利用する企業も、決済APIやCI/CD環境、店舗ネットワークを同様に抱えており、mTLSなどの認証情報管理と特権アカウントの監視は共通の課題となる。GTIGとMandiantは、侵入後の横展開を前提とした多層防御とログの保全が被害拡大を防ぐとしている。

出典

• Google Threat Intelligence Group / Mandiant「Financially Motivated Threat Actor BREEZE COMET Targets Brazil」 (2026年9月1日、JSTでは9月2日公表) — https://cloud.google.com/blog/topics/threat-intelligence/financially-motivated-threat-actor-breeze-comet-targets-brazil/