特集記事ツイートシェア送るはてブ金融機関とネットバンキング利用者がいま、サイバー攻撃の標的にされていることをご存知ですか?昨年から、フィッシング詐欺が大量に発生し、スマホに怪しいSMSメッセージが届いている人は多いと思います。今年7月にはスマホ決済のシステムの不備を突いて、個人になりすまし何十万円も商品を購入される事件も発生しました。ここ2年ほどネット犯罪グループは、様々なネットサービスのアカウントやクレジットカード情報を盗んで稼いでいました。2019年9月、犯罪グループの一部はついに守りが最も強固なオンラインバンキング口座を攻略するのに成功したようなのです。警察庁の発表によると、2019年9月に不正送金被害が突然急増し、前月の件数の4.2倍近くに。被害件数と金額は9月に441件、4億800万円、10月に397件、5億1900万円、11月は573件、7億7600万円にも上っています。現在のところ、決定的な対策が無いということで、銀行も警察も対処に追われている状況とのこと。12月に入ってからは、地方銀行のフィッシング詐欺サイトも多数確認されています。スマホが原因?毎日絶え間なく届くフィッシング詐欺のSMSメッセージ従来の手口と異なる点の一つが、SMS(ショートメッセージ)の利用が大幅に増加していることです。この偽のSMSメッセージを行っているのは、一般ユーザーのスマホ(Android)にインストールされた偽アプリ。皆さんは、佐川急便や日本郵便の不在通知を装ったフィッシング詐欺が発生しているのをご存知でしょうか?実はあのフィッシング詐欺でインストールされるAndroid用偽アプリが、大量なフィッシング詐欺メールの配信元になっている可能性があるのです。端末向け不正アプリ「XLOADER(エックスローダ)」および「FAKESPY(フェイクスパイ)」と呼ばれるマルウェアがそれにあたります。現在は、日本郵便や佐川急便を騙る偽SMS、偽サイトという形で、スマホユーザーの多くの人が目にすることがあると思います。犯罪グループは、この偽アプリは入ったスマホを支配下に置いて、遠隔操作で一斉に偽SMSメッセージを送信しています。この不正アプリは、インストール時にAndroidスマホ上でほぼ何でもできるような沢山の権限を要求します。出典:安心相談窓口だより「宅配便業者をかたる偽ショートメッセージに関する相談が急増中」https://www.ipa.go.jp/security/anshin/mgdayori20180808.html騙されて偽アプリをインストールした利用者は大変です。サイバー攻撃の踏み台に利用されるだけでなく、所有者に見えないようにバックグラウンドで大量のSMS配信するため、1か月に何万円もの通信費用が請求されることもあるとのこと。通信事業者の顧客サポートには、このような知らない間に行われた大量の通信による料金トラブルが多数報告されているといいます。ワンタイムパスワードの盗難とリアルタイムな送金処理もう一つの特徴が、ワンタイムパスワードの盗難です。ワンタイムパスワード方式は多くの銀行で送金の安全性を高めるために採用されています。利用者の手元にあるパスワードカードを使って、本人確認を行うもので過去に送金実績の無い口座宛ての送金や口座登録情報の変更の際に入力を求められます。不正送金の手口をわかりやすくモデル化すると以下のような流れになります。攻撃者は詐取したワンタイムパスワードで、有効時間の間に素早く送金操作を完了ワンタイムパスワードを攻略する手口の大まかな流れ一見、従来の銀行フィッシング詐欺と一見似たような手口に見えますが、フィッシング詐欺サイトがSSL暗号化されており、本物と非常によく似たドメイン名を使用するなど、利用者が目にしても、違和感を感じにくい巧妙な作り込みがなされています。ワンタイムパスワードを入力してしまうと、即座に銀行預金を失うことになりかねなません。マルウェア、バンキングトロージャンの存在ただ実際に攻撃者がワンタイムパスワードを入手しても、それを短い有効時間内に使用するのは非常に困難なはずです。利用者がオンラインバンキングにアクセスするタイミングを知る方法は?銀行口座の送金上限金額はどうやって変更するのか?など様々なハードルがあります。銀行のシステム側でいつもと異なる不審な機器からのアクセスを検知することもあります。これらは人の手作業のみで行っているとは考え難いと思います。これには、作業を円滑に行うマルウェア(バンキングトロージャン)が使われていると見られています。過去には、セキュリティベンダーによって利用者の認証情報を盗むマルウェアがいくつも発見されています。標的のパソコンにマルウェアを侵入させておき、利用者の銀行サイトへのアクセスを監視したり、認証情報を事前に盗み出したり、不正アクセスを隠匿する仕掛けを持ったものもあるのです。事実、下準備を行うためか、何度もワンタイムパスワードを入力させるような手口も観測されている模様です。複合化、複雑化した手口、どうやって防ぐのが良いのか?ここまでの状況を整理すると、スマホも偽アプリで偽SMS送信、偽銀行サイトの巧妙な作り込み、バンキングトロージャンなどのマルウェアの活用と、これまで別々なセキュリティ脅威として報告されてきたものが組み合わされ、標的攻略のために巧みに使われている様子が見えてきます。フィッシング詐欺は、もはや目に見える偽のID、パスワードの入力画面だけではなくなって、ネット犯罪技術の総力戦を仕掛けてきていると考えられます。手口は毎回少しずつ変化しているため、ここまで紹介した内容も既に古くなっているかも知れません。常により成功率の高い方法へとアップデートされている状況と言えます。オンラインバンキングの利用者が安全を確保するために気を付けるポイントがどこにあるのでしょうか?やはりここは、セキュリティの基本を忠実に実行し、犯罪手口の入り込む隙間を減らすのが賢明でしょう。リンクURLの埋め込まれた、SMSやメールは一切信用しない。口座へのアクセスは、銀行の正規アプリや、正規の銀行サイトを直接立ち上げて行う。オンラインバンキングのID、パスワードは、絶対に他のアカウントと共用しない銀行の用意する2要素認証や、銀行が提供している専用のセキュリティソフトがあれば必ず使用する。ウイルス対策ソフトで検知できないマルウェアがあるので、アップデートやウイルススキャンの頻度を上げるネット詐欺専用セキュリティソフトを追加で導入し、検知力を上げる脆弱性を狙った攻撃を防ぐために、パソコンやスマホのOSのアップデートが出たら即座に適用するそれに加え、オンラインバンキングによる振込上限額をできるだけ低く設定しておく銀行口座をできるだけ頻繁に確認し異常が無いか確認をしておくなどの、利用習慣の面でも対策を取った方が良いと思われます。大切な預金を奪われないために、用心に越したことはありません。あなたの利用するオンラインバンキングの銀行サイトや、IPA、警察庁、JC3の発表する情報に注目し、注意を怠らないようにしてください。BBソフトサービスでも、ネット詐欺サイトを高精度で検知するセキュリティソフト『詐欺ウォール』を提供しています。ウイルス対策ソフトとの共用で、オンラインバンキングの安全性を高めることができます。ご興味のある方はぜひ製品サイトをご覧になってください。あわせて読みたい個人情報の漏えいが金銭被害につながる日情報漏えい事故には「防災」の考え方で備えよう「この度は大変申し訳ございませんでした!」企業の幹部が頭を垂れて謝罪するシーンを目にすることが増えている。その謝罪のニュースの中でも私たちの生活と密接なのは、インターネットサービスを行っている企業からの「個人情報漏えい」。顧客アカウント不正利用による金銭被害だ。<3>スマホ決済はとてつもなく発展した。便利だし、日常の生活を変えてしまうような魅力を秘めている。コンビニ、レストラン、スーパー、ありとあらゆる場面で困らない世の中になってきたのだ。この変化をもたらしたのは、ここ1年ほどで爆発的に普及したQRコード決済だ。(情報漏えい)のニュースを見ることが多くなっています。自分の利用しているサービスが、事故を起こしたという方も多いと思います。