Pixは安全か？BTG Pactualへの1億レアル攻撃が金融セキュリティについて明らかにしたこと

2026年3月22日（日曜日）、ハッカーがPix（ブラジルの即時決済システム）システムを通じてBTG Pactual（ブラジルの投資銀行）から約1億レアルを不正送金しました。Banco Central do Brasilは午前6時から異常な動きを検知しました。BTG Pactualは予防措置としてPixの操作を停止しました。翌23日（月曜日）、サービスの復旧を開始しました。7300万レアルが回収されました。2000万〜4000万レアルが依然として行方不明です。

盗まれたお金は顧客の口座から出たものではありません。BTG自身の資金、つまりPixによる取引の決済のためにBanco Central do Brasilに保管されていたものです。個人データは流出していません。投資家の口座にはアクセスされていません。障害は内部的なものでした。

しかしこのエピソードは正当な問いを提起します。Pixは安全なのでしょうか？

BTG Pactualへの攻撃の経緯

この攻撃は最も監視が薄い時間帯、つまり日曜日の早朝を狙いました。ハッカーはBTGがBanco Central do Brasilに持つ決済口座にアクセスし、Banco Inter、Banco do Brasil、Bradesco、Caixa Econômica Federal、PicPay、Itaú、Mercado Pagoなど複数の機関の口座に一連のPix送金を実行しました。

連邦警察とCyberGaecoが動員されました。調査では、すでにBTGにサービスを提供していたある銀行技術会社に関連する古い認証情報が使用された可能性が調べられています。準備口座の認証情報にアクセスできる従業員の関与も排除されていません。

複数の口座への分散後、一部の資金は追跡を困難にするために暗号資産に変換されました。この手口は新しいものではなく、2025年以降のブラジルの金融システムへの3大攻撃で見られたパターンと同じです。

攻撃のパターン：8億レアルから1億レアルまで

BTGへの攻撃は真空の中で起きたわけではありません。2025年以降、ブラジルの金融システムはPixに関連する大規模インシデントを少なくとも3件経験しており、合計損失は15億レアルを超えています。

2025年7月：C&M Software（8億レアル）。 ハッカーが8以上の金融機関にサービスを提供する技術会社C&M Softwareに侵入しました。この攻撃により、シリーズ最大となる約8億レアルが不正送金されました。

2025年9月：Sinqia（7億1000万レアル）。 テクノロジーサプライヤーのSinqiaが攻撃を受け、7億1000万レアル（HSBCに関連する6億6900万レアルとArttaクレジット会社の4100万レアル）が不正送金されました。大部分の資金はBanco Central do Brasilによってブロックされました。

2026年1月：Banco do Nordeste。 銀行はサードパーティのサプライヤーへの不正侵入後にPixを停止しました。システム創設以来、この機関が関与した最初のインシデントです。

パターンは明確です。攻撃はPix自体ではなく、金融機関の内部システム、特にその技術サプライヤーを標的にしています。 古い認証情報、サードパーティのアクセス、内部ガバナンスの欠陥が侵入の入口となっています。

Pix自体は侵害されていない

これが最も重要な区別です。Banco Central do Brasilが運営するPixのインフラは intact のままです。

Pixは道路のようなものです。送金はその道路をエンドツーエンドの暗号化、多層認証、Banco Central do Brasilによるリアルタイム監視によって安全に通過します。2025年と2026年のすべての攻撃で侵害されたのは、その道路を走る「車両」、つまり銀行とそのサプライヤーの内部システムです。

BTGの場合、ハッカーはPixのプロトコルを破ったのではありません。銀行がシステム内で操作するために使用する認証情報にアクセスしたのです。これは誰かが車のキーを複製したようなもので、車が通る道路をこじ開けたのではありません。

Banco Central do Brasilは声明で、即時決済システム（SPI）は侵害されていないことを強調しました。失敗したのは参加機関の認証情報管理でした。

逃走経路としての暗号資産

2025年以降のすべての大規模攻撃で、不正送金された資金の最終的な行き先は同じパターンをたどっています。複数の銀行口座への分散、続いて暗号資産への変換です。

その論理は明快です。銀行振込は追跡可能で、すべてのPixトランザクションには送信元と受取人のCPFまたはCNPJが記録されています。暗号資産はブロックチェーン上に記録されていますが、最終的な受益者の特定を大幅に困難にする仮名ウォレット間の移動が可能です。

BTGへの攻撃では、資金は少なくとも7つの異なる機関に分散された後、一部が暗号資産に変換されました。連邦警察は7300万レアルを回収しましたが、デジタル資産に変換された部分が捜査の最大の課題となっています。

このパターンはブラジルで緊急性を増す議論を強化します。暗号資産市場の規制の問題です。暗号資産取引の追跡可能性と最終的な受益者の特定は、当局がこうした犯罪に効果的に対応するための核心的な課題です。

お金を守る方法

2025年と2026年の攻撃は個人口座を侵害しませんでした。機関のインフラを標的にしていました。しかし、Pixの日常的な使用に保護措置を講じないでいいということにはなりません。

送金上限を設定する。 すべての銀行ではトランザクションごとおよび期間ごとのPix上限を調整できます。夜間（午後8時〜午前6時）の上限を低い金額またはゼロに設定してください。個人に対する攻撃のほとんどは強制によるものであり、上限が低ければ被害が軽減されます。

二要素認証（2FA）を有効にする。 生体認証、トークン、またはサブデバイスによる確認。認証の各追加レイヤーが不正アクセスを困難にします。

ランダムキーを使用する。 CPF、メール、電話番号の代わりにランダムなPixキーを使用してください。個人データに紐付いたキーはソーシャルエンジニアリングの試みを容易にします。

金融取引には公共Wi-Fiを避ける。 オープンネットワークは既知の傍受の手口です。モバイルネットワークまたは信頼できるVPNを使用してください。

MED（特別返金メカニズム）を理解する。 Pixによる詐欺の被害者は、銀行に対してMEDによる返金を80日以内に申請できます。銀行は30分以内に受取機関に連絡し、送金先口座の資金をブロックする必要があります。早ければ早いほど回収の可能性が高まります。

投資家にとっての意味

金融システムのセキュリティは、あらゆる投資家に直接関係するテーマです。2025年と2026年の攻撃はPixをインフラとして侵害しませんでしたが、金融機関がサイバーセキュリティ、認証情報ガバナンス、サードパーティサプライヤーの監査に継続的に投資する必要性を明らかにしました。

個人投資家にとっての教訓は二重です。中央システムは堅牢ですが、個人のセキュリティはユーザー自身の適切な行動に依存しているということを理解すること。設定した上限、強化された認証、ソーシャルエンジニアリングへの注意が依然として最善の防御です。

Royal Binaryでは、投資家の資産の安全性を運営上の最優先事項として扱っています。6年以上の金融市場経験を持つSidnei Oliveira（サイドネイ・オリベイラ）のチームが管理し、完全な運営の透明性（CNPJ 64.020.950/0001-60、Avenida Paulista 807、São Paulo SP）のもとで専用の環境で記録された取引によって、当社のモデルはプロセスの各段階でリスクを軽減しようとしています。

金融市場でのリターンは変動収益です。過去の実績は将来の結果を保証するものではありません。