【処分事例】インド：2022年11月にLockBit 3.0ランサムウェア攻撃を受けた企業に対し罰金

2026年7月27日　CDSLは、2022年11月に発生したLockBit 3.0ランサムウェア攻撃を可能にした一連の構造的なサイバーセキュリティ上の不備により罰金を課された。その不備には、インターネットに公開されている認証サーバーを重要資産として分類しなかったこと、当該サーバーに対して義務付けられた脆弱性テストを実施しなかったこと、適切なアクセス制御(強力なパスワードポリシーやSIEMとの統合など)を実施しなかったこと、そして攻撃が発見されるまでの丸1年間、システムに持続的なアクセス権を持っていた攻撃者を検知できなかったことが含まれる。これらは孤立した事例や技術的な過失ではなく、CDSLには対処する手段と規制上の義務があったにもかかわらず生じた、累積的かつ予見可能な不備であり、データ侵害はインドの証券市場全体に波及効果をもたらし、決済業務を最大54.5時間にわたり中断させた。