同行は26日、「入力した場合、情報が悪用されるおそれがある」と注意を呼びかけた。通常こうした画面は使用しておらず、ウイルス感染の可能性もあるという。質問と答え」などの情報入力を求める画面が表示され、銀行側から相談を受けた警視庁などが情報を収集している。http://www.yomiuri.co.jp/national/news/20121027-OYT1T00190.htmゆうちょ銀行と三井住友銀行のインターネットバンキングの正規の画面にログイン後、システムのメンテナンスなどをうたい、さらに暗証番号などを入力させる画面が表示されることがわかった。県警生活環境課によると、入力すると何者かに情報が盗まれる可能性があるという。質問と答え」などの情報入力を求める画面が表示されるという。本物のHPでは初めてといい、同課で注意を呼びかけている。異常が検出しました日本人じゃねーな。ID:TXJDw88M0やっぱりな。ID:5uOsd/up0>>106MSEは中華には無力だ、無料のおまけソフトに何か期待してんのか。ID:sHwxHKegPウィルス感染等によるインターネットバンキングの犯罪にご注意ください(平成24年10月26日)。http://www.bk.mufg.jp/info/phishing/ransuu.html三菱東京UFJダイレクトインターネットバンキングログイン直後に、ご契約カード裏面の「確認番号表(乱数表)の数字すべて」を入力させる偽画面を表示するウィルスが発生しております。当行ではログイン時に、「確認番号表(乱数表)の数字すべて」を入力いただくことはありません。悪用されるおそれがありますので、絶対に入力しないでください。万が一、入力された場合は、すみやかにページ下部にございますお問い合わせ先までご連絡ください。ID:5uOsd/up0>>206このウイルスがどんなものかは知らんが、もしDNSやられてたら無理だわ。ID:2n1Vnyyx0>>412(ピヨピヨ)改竄されてりゃ、なんでも有り得る。ID:KtdggAEA0>>419暗号を解く必要があるのは、通信の経路上でデータを覗き見る場合だろ。ID:KtdggAEA0>>424プログラマだよ。外部PGで取得できると思ってる雑魚は底辺だなw環境に依るだろうが、Windowsなら簡単だな。ID:o3ML6cUWO>>443正式な手続き(IDとパスワード入力)して出金されたなら銀行は保証しないはず。顧客の個人情報管理に原因があるからと判断されるはず。第一、銀行からは本人かなりすましか判別出来ない。ICカード付属のクレジットカード決済でも4桁の暗証番号が正しければ、本人使用でなくてもクレカ会社は賠償しない。ID:2n1Vnyyx0>>454>第一、銀行からは本人かなりすましか判別出来ない。それは認証システムが不完全だからだろ。いえ、完全な認証システムは原理的に有り得ない。ある程度のところで妥協せざるを得ない。そのリスクは利用者と銀行の双方で負うのが筋。ID:88U2Lgzy0これまで公開・報道された情報まとめると以下の通り。・マルウェア(ウィルス)の可能性大。SpyEyeやZeuSまたはその亜種と思われる。・セキュリティソフトはいまのところ未対応と思われる。各社の(ピヨピヨ)に情報なし。感染PCがノーガードであれば合掌。・感染するのは客であるユーザーのPC銀行側の発表より。そもそも正規のHPに何かあればサービス停止しているはず。・ネットバンキングへ(バキューン!)すると偽のポップアップを表示し暗証や乱数表を「全て」入力させようとする。ここで異常に気付いて!!・PCのWebブラウジングを監視ログイン後に例のポップアップを表示。特定(ピヨピヨ)を判定していると思われる。他のサイトは大丈夫?ログイン・パスワードなど・DNSやHOSTSの書き換え等はしていないと思われる。定期スキャンもかけてない様なユーザーだけかと思ってたよ。ID:U4FINknR0これって、釣られてねーじゃん。ニュースで新たなフィッシング詐欺っていってたけどマスゴミも言い方注意しないと、誤解で被害が拡散するじゃん。おれ、釣られてないから大丈夫って初動で広めちゃったらマスゴミが被害拡散させてるようなもんだ。金融取引専用のPCを所持する。そのPCでは、不要な検索すらしないこと。当然ながら金融(ピヨピヨ)はお気に入りに登録しておく。フリーソフトは絶対入れないこと。ワンタイムパスワードもソフトウェアキーボードも連続的な画面ショットで盗まれている可能性があるから過信しないこと。専用PCで取引していないヤツは危険すぎるってこと。ID:meWh6GSk0今回のケースは、クライアント側のPCがウイルスとかに感染していることが原因なワケで、そこまでは確定情報なのに、このスレ読んでると、DNSや銀行側のサイトの改ざんとか言ってる奴が多すぎる。なんか、こーゆー自分で確かめるってことを全くしない奴らが、最初に被害にあうんだろうなあ。mac最強とかfirefox最強とか言ってる奴。それはただ単に、今までmacやfirefoxが、WinやIEに比べてメジャーじゃなかったってだけで、この先ウイルスつくるなら、むしろ油断してる奴の多い、mac/firefoxを狙うのも有りだろう。iphoneが安全なのか知らないのに知ったかぶりはやめとけ。金融取引専用のPCを所持する。そのPCでは、不要な検索すらしないこと。当然ながら金融サイトはお気に入りに登録しておく。フリーソフトは絶対入れないこと。ID:+DKq+qHk0>>647例え、ジェイルブレイクした端末で、AppStore以外からアプリを入れていたとしてもサンドボックスの仕組みの範囲内であれば、情報は守れる。ジェイルブレイクしてたら、サンドボックス自体破綻するから、それを前提に話をすることにあまり意味はないが。>Safariの脆弱性をついて「脆弱性がない限り問題がない」と言っておる。今回のようなことはできる。OS上なら、アドオンを一つ普通にインストールさせる、アプリケーションを一つ管理者権限で実行させる、だけで今回のようなことは実現できるが、iOS上でアプリの情報を盗むのはかなり難しい。Xでやるのは構造的に無理。最低限ルート認証が必要になるから。ところがなんでも管理者権限で走らせるアホ設計なXPなら、だまってホイホイ動いてしまう。それがWindowsの致命的なところ。ID:jki8+XsPP>>647普通の人は、JBしない限りAppleストア以外からiPhoneにアプリなんて入れられないよ。今一番危ないのはAndroidだよ。root権限盗られるウィルスがその辺にアプリに寄生して転がってる。リモートで電話もかけられれば、入力したキーのログも取れる。会話も録音してSDカードに記録し外部へ送信できる。ID:jki8+XsPPま、WindowsPCではちゃんとWindowsUpdateしてて普通にウィルス対策ソフトも入れてれば、あとは正規の画面でも変な質問には答えないようにするとか乱数表やソフトウェアキーボード使ってる銀行に変えるしか手は無さそうだな。ID:Og33lzdl0>>662三菱UFJは「乱数表もソフトウェアキーボード」も使ってましたがなにか。>>663生温かく見守りましょう。ID:oaTsvVSH0>>672ログイン後で疑うかよ、バカ。警察庁は被害が広がるおそれがあるとして警戒を呼びかけています。預金者に乱数表のカードを配布しており、取り引きのたびに乱数表の異なるマスの位置に記された数字を暗証番号として入力することになっています。銀行からを装った偽のメールが送りつけられました。合わせておよそ1500万円が引き出されたということです。警察庁はセキュリティー対策を破る新たな手口とみて警戒を呼びかけています。ID:vAbiz9ys0ネットバンクが必要な人の生活パターンというのが理解できん。ID:9yW1hlJK0SBIのも頻繁に取引していて、スパイウェアによってカード裏番号が多く盗まれると認証破られる。ID:lxQe+jtA0>>424別に専用のハードウェアなんかなくても専用のソフトでいいだろ。なんで汎用のブラウザ使わせるんだよ。問題はそこ、つまり銀行は責任転嫁のために専用のソフトを作らない。ID:dt/OiovI0>>430すべてのOSで用意するか?Win,Mac,iOS,Android,WindowsMobile。作ったら、セキュリティfixもいる。それならRSAのトークン配って、ワンタイムパスワード使わせた方がお得。ID:dt/OiovI0>>430あと補足。専用ソフトだと、解析されたらアウト。専用ソフトのふりをするツールとか作られる。ID:lxQe+jtA0>>436意味がわからないことをいうなよ。汎用ブラウザならOKなのかな。いうかあまり詳しくないみたいだね。ID:XMsiGum/0>>438うん、ネットワークは詳しくないよ。使うIP申請させるって、現実的じゃないと思う。ある仕掛けで対応できるから、そっちの方が現実的じゃないのって話。あと、WindowsとiOSとAndroidとMacOSは同一の言語で書けるの?詳しそうだから訊くけど、JAVAでiOSのアプリ書ける?書けたら言語の問題は解決するけど。ID:ho2F8utp0>>441できるできないとかではなく、選択させる、明示する、を運用に入れるべきという話だよ。いうのに引っかかる人なんてのは、特定のプロパイダで同じ場所からアクセスしている人が多いだろうから、プロパイダのIPと地域でフィルターしてしまう。携帯やスマートフォンなら、それを使うということを選択させて、その割り当てIPでフィルタ。どこからでもどんなプラットフォームでもという人は、なんでもありを選択させればいい。IDとパスワードと暗号表渡して、なんの制限もつけずに口座開設というのが銀行の怠慢、そういう話をしてるんだ。犯罪を安易にするからね。トークンとかキーとかを重視するより、まずは使用制限をかけて提供して顧客のニーズで制限を解除できるようにするべきということ。>あと、WindowsとiOSとAndroidとMacOSは同一の言語で書けるの?蛇足だろうけど、そんなのは瑣末な技術的問題だよ。複数のプラットフォームで共有できるものをすればいいし、特定のOSは特化するべきならそうすればいい。必要十分な費用をかけてね。JAVAでもPysonでも好きなものを使えばいい。ID:Z/N8l6Pv0>>444IPフィルタリングをセキュリティの根拠にするのって、セキュリティの専門家から鼻で笑われますよw認証方式とか少し勉強した方がいい。今の乱数表とか、トークンがなぜ採用されているかが判るから。ID:ho2F8utp0>>447いやこの場合は、まずIPフィルタリングがされていないことが問題ですね。トークンとか設定者側の能力に依存するもの「だけ」を頼りにしてはいけない。いうかそれが銀行の責任転嫁だと書いてるんだよ。ID:Z/N8l6Pv0>>461貴方の論理だと、印鑑による認証もダメになるんだけど。ID:ho2F8utp0>>462いや屁理屈はいいから。だれも印鑑のことなんて話してない。ID:Z/N8l6Pv0>>465あんたの方が屁理屈だと思うぞ。利用者責任の観点では、トークンとか乱数表の管理と同じなんだから。あと、IPフィルタリングってセキュリティ上無意味です。ドヤ顔して言ったら笑われるから。ID:2/ZDbQCE0>>465具体的に、そのフィルターはどうやって管理するんだ?利用者が使うかも知れないIPアドレスの範囲をどうやって把握するんだ?利用者が間違った設定をしてアクセスできなくなったらどういう対応をするんだ?「あまり意味ないけど、一応やっておく」にはデメリットが大きすぎる気がするんだが。ID:ho2F8utp0>>466印鑑どうのは万人が認めるきみの屁理屈。この話題とそれまくり。>あと、IPフィルタリングってセキュリティ上無意味です。これもきみが思うんならそうなんだろう。