目次ワンタイムパスワードとは?ワンタイムパスワードの仕組みどのような原因で不正利用される?サイバー犯罪の手口まとめワンタイムパスワードはセキュリティを強化するために用いられる補助的なパスワードです。Yahoo!のアカウントを持っている方は、ログイン時によりセキュアな環境でネットワーク接続するために、メールかアプリでワンタイムパスワードを用いることができます。ワンタイムパスワードは、オンラインゲームやECサイトといった高いセキュリティが求められるネットワーク接続の際にも用いられます。続きを読むワンタイムパスワードを解説するのに身近な例として、今回はオンラインバンクを例に挙げ、ワンタイムパスワードがどのような場面で用いられるのか、どのような仕組みなのかといった点に焦点を当てて解説したいと思います。ワンタイムパスワードとは?ワンタイムパスワードは、よりセキュリティを高めるために用いられる「使い捨てのパスワード」のことです。利用者が設定したオンラインバンクのIDとパスワードのほかに、ワンタイムパスワードを組み合わせることでセキュリティを強固にしています。なんらかのルートで悪意のある第三者がこのワンタイムパスワードを入手したとしても、このワンタイムパスワードだけでは不正利用に用いることはできません。ワンタイムパスワードは1度しか用いることができないため、悪意ある第三者がもしID・パスワード・ワンタイムパスワードを入手できたとしても、オンラインバンクで用いられているワンタイムパスワードは時間と共に変化するものが多いため、同じものを再度使うことはできません。ワンタイムパスワードの仕組みワインタイムパスワードは、「タイムスタンプ方式」と「チャレンジ・レスポンス方式」の2種類があります。以下ではタイムスタンプ方式とチャレンジ・レスポンス方式について解説していきたいと思います。タイムスタンプ方式タイムスタンプ方式はセキュリティカードやUSBといった「トークン」と呼ばれるものを利用者に事前に送付します。(利用するためには事前申請が必要な銀行もあります。)トークンは利用者と紐付けられているため、利用者が指定された数字やアルファベットを入力することによってサーバー側が照合をおこないます。オンラインバンクではこのタイムスタンプ方式を用いているものが多いようです。タイムスタンプ方式は、時刻によってパスワードが変化するものです。楽天銀行ではワンタイムパスワードとしてセキュリティカードを使用します。画像出典:楽天銀行https://www.rakuten-bank.co.jp/security/howto/enhanced/securitycard/セキュリティカードは銀行口座開設をおこなった利用者に事前に配布され、裏面に記載されているアルファベットと数字は利用者によってすべて異なります。ワンタイムパスワードには毎回異なる文字の組み合わせを認証に用いるため、セキュリティカードの全ての文字の配列を把握していない限り、これを第三者が知り得る術はありません。トークンはカードだけではなく、ほかの方法で使うこともできます。三菱東京UFJ銀行の場合、スマートフォンにアプリをインストールするとリクエストに応じて自動生成されるワンタイムパスワードを利用できます。利用するためには事前登録が必要です。スマートフォンアプリの他に、セキュリティカードも選択できます。参考:三菱東京UFJ銀行、ワンタイムパスワードhttp://direct.bk.mufg.jp/secure/otp/index.htmlチャレンジ・レスポンス方式チャレンジ・レスポンス方式は、利用者がサーバー側にリクエストを送信することによって、サーバー側が利用者に事前に設定した質問を投げかけます。サーバー側からの質問は毎回ランダムなものが生成されます。利用者はその質問に対して回答することにより、サーバー側が質問に対する答えを照合します。オンラインバンクのログイン後におこなわれる「秘密の質問」は「リスクベース認証」と呼ばれ、ワンタイムパスワードとは異なります。この質問は本人確認ができないときや、いつもと違う場所からアクセスを行うときなどに表示されます。どのような原因で不正利用される?サイバー犯罪の手口インターネットを利用するのであれば、必ず理解しておかなければいけないのがサイバー犯罪の手口です。不正利用の原因としてよく挙げられるのがフィッシング詐欺と不正送金ウイルスによるものです。これらの不正利用は年々手口が巧妙化しており、一見しただけでは判断できないほど作り込まれているものも多くなってきています。オンラインバンクの話になってしまいますが、不正利用は個人を標的にした小口のものが多かったところ、最近は法人も標的として狙われています。記憶に新しいものでいえば、2017年12月には日本航空が約3億8千万もの詐欺被害に遭いました。手口はフィッシング詐欺で、送信元のメールアドレスは日本航空の取引先担当者のメールアドレスに装ったものが使用されていました。何重ものチェックを経たにもかかわらず、上記の金額は指定された口座に支払われてしまいました。ビジネスメール詐欺の手口https://mainichi.jp/articles/20171223/k00/00m/040/083000c以下では、よくおこなわれるサイバー犯罪の手口について簡単に触れたいと思います。2018.02.01セキュリティインシデントを考える上で覚えておきたいことインターネットの普及は、公私を問わず私たちの生活に様々なメリットをもたらしてくれますが、同時に悪意ある利用者の増加も招いたということも事実です。単なるいたずらで済めばまだ良いのですが、インターネットを利用した悪意ある行為は今日におい...フィッシング詐欺フィッシング詐欺は利用者のメールアドレスやSNSに利用している銀行などを装ったメッセージが送信されます。上記の日本航空の件もフィッシング詐欺によるものです。本文に記載されているURLにアクセスすると、本物のウェブサイトのログイン画面に似せたページが表示されます。このURLはID・パスワードなどを盗むための偽のウェブサイトであり、こちらにID・パスワードを入力してしまうと情報が盗まれてしまいます。2017.03.08ECサイトのセキュリティ対策~個人情報漏えい事件から考える~個人情報保護が叫ばれて久しいですが、セキュリティ対策をしているつもりでも、情報漏えいは様々な理由で起こります。近年起こった情報漏えい事故・事件をまとめますので、どのような対策が考えられるかを考えていきましょう。個人情報漏えいはど...不正送金ウイルス不正送金ウイルスは、パソコンやスマホがウイルスに感染することで引き起こされます。このウイルスに感染すると、本物のオンラインバンクやクレジットカードのログイン画面にそっくりなポップアップが表示されます。最初のログイン画面では通常入力する必要がない暗証番号や秘密の質問を入力する欄があるため、利用者がIDとパスワードを入力してしまい不正送金の被害に遭うという事例が続出しています。これは警視庁のホームページでも注意喚起として掲載されています。参考:警視庁、ネットバンキングに係る不正アクセス被害の防止対策についてhttp://www.keishicho.metro.tokyo.jp/kurashi/cyber/notes/net_banking.htmlこれらの詐欺被害を未然に防止するためには、オンラインバンクを利用する前に不自然なところはないか確認をおこなう、怪しいメールではないか疑う、定期的に明細を確認する、またパソコンなどのデバイスにアンチウイルスソフトをインストールしておくことなど、自分で気をつけることが大事です。まとめ以上がオンラインバンクを例としたワンタイムパスワードの解説でした。オンラインバンクで用いられるワンタイムパスワードは、トークンを用いたタイムスタンプ方式、チャレンジ・レスポンス方式を用いることによってセキュリティ効果を高めています。ワンタイムパスワードを用いることによってセキュリティを強化することができますが、サイバー犯罪は年々新しいタイプのものが出てきているので、注意が必要です。自分の口座が不正利用に用いられていないか定期的に確認することも大事です。サイバー犯罪の被害を未然に防ぐためには、上記に挙げたような犯罪の手口を理解しておくことで犯罪被害に遭う確率を低くすることができます。