26年中のインターネットバンキングに係る不正送金事犯の発生状況等について」より)。企業の口座が多いために、企業の被害が増加。2:法人口座を狙う専用のウイルスが広まる犯人にとっては多くの現金を盗み出せる法人口座の方が狙う価値がある。そこで法人口座を狙う専用のウイルスが開発されている。ネットバンキング不正送金のウイルスとして有名な「ZBOT(ゼットボット)」では、電子証明書を盗み取る亜種が発見されている。企業がネットバンキングで利用する電子証明書をエクスポートして勝手に利用したり、いったん削除して再発行手続きのときにコピーしたりといった手口だ。電子証明書はネットバンキングの安全性を高めるためのものだが、ウイルスによってコピーされてしまい、企業の口座から不正送金されてしまっている。これら企業のネットバンキングを狙う専用ウイルスによって被害が大きくなった。3:中堅・中小企業のセキュリティ対策が甘かったこと中堅・中小企業では、ネットバンキングには共用パソコンを使い、その共用パソコンを使って社員が休み時間にWebサイトを閲覧するというケースもあるだろう。これによりウイルス感染してしまい、ネットバンキングから現金を盗み取られている。電子証明書の設定ミスや、再発行を安易に行うことなどにより、不正送金の被害に遭った。担当者のセキュリティへの認識が甘いためと言えるだろう。目次へ戻る【不正手口】手口の多くはウイルスによるもの。ネットバンキング不正送金ウイルスの動作ネットバンキング不正送金の手口は、大きく分けて二つある。一つはフィッシングサイト、二つ目はウイルスによるものだ。フィッシングサイト、つまり偽サイトによるネットバンキング不正送金は、数年前からある古い手口だ。銀行をかたる偽メールをばらまき、犯人が用意した銀行の偽サイトに誘導し、契約者番号や暗証番号・パスワードを盗み取って不正送金するものだ。フィッシングサイトはユーザーが気づくことが可能なため、被害額はそれほど大きくなかった。それに対して、二つ目のウイルス=オンライン銀行詐欺ツールでは、被害者に気づかれないように巧妙に動作する。2013年から急激に被害が大きくなったのは、このウイルス感染によるものだ。ネットバンキングを狙うウイルスとしては、「ZBOT(ゼットボット)」「VAWTRAK(ボートラック)」「AIBATOOK(アイバトゥック)」などがある。1:ネットバンキング不正送金ウイルスの感染源ウイルスの感染源は、メールか改ざんされたWebサイトだ。企業を狙う標的型メールなどに不正なファイルを添付し、実行させてネットバンキングを狙うウイルスに感染させる。今でも多くの被害が出ている手法だ。改ざんされたWebサイトでの感染は、2013年後半から2014年前半にかけて多かった。一般向けのWebサイトが、犯人によって数多く乗っ取り・改ざん被害を受け、閲覧者にウイルスを感染させる。ソフトウェアが古いパソコンで、改ざんされたサイトを表示すると、ウイルスに感染する「ドライブ・バイ・ダウンロード」という手口によるものだ。サイトを表示しただけで感染するため、気づかないことが多い。2:ウイルスが銀行サイトを書き換え、情報を盗み取りこのウイルスは普段は何もせずに、じっとしている。ユーザーが銀行サイトを開いたときだけ動作する仕組みだ。ウイルスに登録されたネットバンキングにアクセスすると、ウイルスが動き始める。2013年のウイルスは、ポップアップを出すだけの比較的単純なものが主流だった。本来の銀行サイトをブラウザーで表示すると、別ウィンドウで契約者番号や暗証番号を入力する画面が出る。ここで入力したデータを犯人が読み取り、ネットバンキングを乗っ取って不正送金する流れだった。2014年になって手口はさらに進化している。ポップアップは開かず、銀行サイトの一部だけを書き換えるのだ。Browser)と呼ばれる攻撃だ。この手口では、本物のネットバンキングの一部だけが書き換えられるため、ユーザーが気づくのはとても難しい。振込のときに、振込先の口座を書き換え、犯人の口座に送ることも可能になる。このようにユーザーが気づきにくい高度な手口が使われている。3:ワンタイムパスワードも無効の自動化、セキュリティ対策ソフトの抑止などの手口も銀行ではネットバンキング不正送金の被害を抑えるために、ワンタイムパスワードの導入を無料化するなどの対策を取った。ワンタイムパスワードを破る手口も登場している。不正送金を自動化するウイルス・システムによるものだ。ワンタイムパスワードでは通常1分間だけ有効なパスワードを発行する。ウイルス側は自動プログラムでこのワンタイムパスワードを盗み取り、1分以内に不正送金を行ってしまう。UFJ銀行などで確認されている。ウイルスが常駐しない手口も発見されている。セキュリティ大手・トレンドマイクロが発見した「WERDLOD(ワードロッド)」は、ブラウザーのプロキシサーバー設定を書き換えるものだ。犯人のサーバーを通す設定にすることで、パスワードなどを盗み取って不正送金を行う。ウイルスが常駐しないため、被害者が気づきにくく、被害も大きくなりそうだ。目次へ戻る【犯人像】中国からの中継サーバー利用で大きな被害。逮捕者も中国人が多い犯人はグループとしての検挙はないものの、末端の出し子(ATMなどで現金を引き出す役)は逮捕されている。2014年は115件・233人が逮捕されており、そのうちの57.5%・134人が中国人だった。犯人が盗み取った現金を送る一時送金先の口座は、64.1%が中国人名義だった。中国人留学生などが作った口座が売買されている可能性が高い。ネットバンキング被害は2014年後半に減少しているが、その大きな要因となったのが、警察による「中継サーバー」の摘発だった。2014年11月に警視庁など19都道府県警の合同捜査本部が、「大光」(東京都台東区)、「SUNテクノ」(同豊島区)など各地の中継サーバー業者を摘発した。これらの中継サーバー業者は、主に中国向けに事業を展開しており、中国のユーザーが日本の中継サーバー業者のパソコンを遠隔で利用できるサービスを提供していた。このサービスを利用すれば、日本国内のIPアドレスでアクセスできるため、各銀行が行っていた対策をかいくぐることができたようだ。報道によれば摘発された都内2社の中継サーバー業者を通じて、約300件・約4億5,000万円のネットバンキング不正送金が行われたとされている。ネットバンキング不正送金の足場に使われていたと考えていいだろう。このように中国からのアクセスによる不正送金が多く、かつ検挙者にも中国人が多い。中国の犯罪グループが関与している可能性が高い。補償に必要な対策とは?これらのネットバンキング不正送金被害では、一定の要件をクリアしているものに対して、全国銀行協会が補償を行っている。全銀協の発表によれば、個人の場合、2013年度は98.9%、2014年度は4月から9月の数字で93.7%が補償されている。法人での補償については発表されていないが、ある程度は補償されていると考えていいだろう。ネットバンキング不正送金の被害が大きくなっているため、全銀協では2014年7月にネットバンキング不正送金への補償に関するガイドライン「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」を発表した。けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」より)。全国銀行協会:「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」このガイドラインでは、企業におけるセキュリティ対策をまとめたうえで、その対策を実施していない場合、また企業の対応などに問題があった場合は、補償が減額されるとしている。リスト1は、補償に必須である「法人が実施すべきセキュリティ対策」だ。最低限の対策として必要なものである。銀行が導入しているセキュリティ対策を着実に実施するインターネット・バンキングに使用するパソコンに関し、基本ソフト(OS)やWebブラウザー等、インストールされている各種ソフトウェアを最新の状態に更新するパソコンにインストールされている各種ソフトウェアで、メーカーのサポート期限が経過した基本ソフトやWebブラウザー等の使用を止めるパソコンにセキュリティ対策ソフトを導入するとともに、最新の状態に更新したうえで稼働するインターネット・バンキングに係るパスワードを定期的に変更する銀行が指定した正規の手順以外での電子証明書の利用はやめる企業がネットバンキングを利用する際の安全対策として、基本中の基本である6ポイントをまとめたものだ。ネットバンキング担当者は必ず実行してほしい。この6ポイントを実行していない場合、補償が減額されるか、補償されないことがある。補償の要件をまとめたのがリスト2だ。企業でのネットバンキング利用の手順、被害を受けた場合の通報などの手順がまとまっているので、この「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」には必ず目を通しておきたい。推奨するセキュリティ対策についてそのうえで、より安全にネットバンキングを利用するために、以下のポイントを守ろう。全国銀行協会が推奨すべき対策としてまとめている5ポイントだ。メールがないかを定期的に確認する最も重要なのは「ネットバンキング専用のパソコン」を置くこと。他の業務に一切使用しない、専用のパソコンを用意し、Webサイト閲覧・メール送受信には絶対に使わないことが大切だ。これによりネットバンキング不正送金ウイルスの感染を防止できる。「取引の申請者と承認者とで異なるパソコンを利用する」ことも重要だ。ウイルス感染を防ぎつつ、電子証明書の盗み取りを防ぐこともできる。企業でのネットバンキング不正送金被害を防ぐために、以上のポイントを必ず実行してほしい。ビジネスeラーニング無料で受講できるビジネスパーソン向けeラーニングです。ビジネスマナーやセキュリティなどの多彩なコースをご用意しています。今後も順次コース追加していく予定です。総務部エリコなつかしオフィスビジネススキルアップや業務に役立つさまざまなサービスをご用意しています。