みの被害額のレベルにまで拡大していくことも予想されます。今回は、攻撃の最新事情から対策のポイント、安全にネットバンキングを利用するためのポイントなどについて、「セキュリティ防衛隊」の辻さんに解説していただきます。辻さん今回もよろしくお願いします。今回はネットバンキングの不正送金問題がテーマです。こちらこそよろしくお願いします。ネットバンキングの不正送金事件は、2014年1月〜6月の発生件数が1,254件、被害額は約18億5,200万円にのぼることが、警察庁の発表で分かっています。ちなみに、海外の事例では、2012年に「オペレーション・ハイ・ローラー」(ハイ・ローラーという言葉自体は「贅沢な暮らしをする人」や「むちゃな賭けをする人」という意味です)という大規模な不正送金事件が起きました。このときの被害額は、ヨーロッパ全体で約60億円から約2,000億円といわれていて、日本も近い将来、海外の被害レベルに追いつくのではないかと言われています。被害が拡大している現状についてもう少し詳しく教えてください。不正送金事件に係る手口としては大きく「フィッシングによるもの」「マルウェア感染によるもの」の2つに分けられます。フィッシングは、ユーザーを偽サイトに誘導し、金融機関などのサイトにログインするID、パスワードや、送金などの重要な処理に必要な情報(予め配布されたカードに記載された「お客様情報」「第2認証」などと呼ばれる乱数表の数字など)を盗み出そうとする手口です。偽サイトに誘導するフィッシングの手口ですか?そうです。フィッシングサイトは本物そっくりに作ってあるので見分けることは困難です。現在も、乱数表の数字を全部埋めるよう促される画面が表示されるというものをよく見かけます。SSL」に対応していて緑色に変わるとか、あとはURLを目視確認するくらいしか方法がありません。「見分ける」というのとは違うかもしれませんが、被害に遭ったかもしれないことに「気づける」ポイントとして、正規のサイトでの正常なページの振る舞いを知るということが挙げられます。いうことでしょう?例えば、フィッシングサイトの中には、偽ページで情報を入力し、送信した後、本物のサイトにリダイレクトするような挙動をするものがあります。本物のサイトだとエラーメッセージが表示されるはずのものが、表示されないわけです。日頃から本物の挙動を知っていれば、偽物の挙動で「おかしい」と気付くきっかけとなることが考えられます。この場合、偽ページでいくつかの情報を入力してしまい、窃取されてしまう可能性がありますが、すぐに金融機関や警察などの関係組織に通報することで、被害に遭うことを避けることができる場合があります。日頃から利用する金融機関のサイトをよく見ておく必要があるのですね。その他に「フィッシング」のポイントはありますか?そうですね。海外の事例では、金融機関側に不審な取引と検知されないようにするためや、本人に発覚するのを遅らせるために、口座の預金額全額を別口座に送金するのではなく、そのうちの数%だけを送金するという事例もあるようです。マルウェア感染による手口について教えてください。マルウェア感染の怖いところは、パソコン内に保存された情報や入力した情報はほぼ全て盗まれてしまいますし、人がパソコンを使って行えることのほぼ全ては、マルウェアに実行されてしまうところです。マルウェアによる手口には、感染後、普段は身を潜めているのですが、ユーザーが特定のサイト(金融機関等)にアクセスしたときに、特定のHTMLを表示させるという特徴があります。このように、偽のページを挿入することから「Webインジェクション系」と呼ばれることもあります。マルウェアに感染すると、被害者は本物のサイトにアクセスしているものの、「パスワードの有効期限が切れました」「新しいパスワードに変更してください」というような偽のポップアップが表示されるのですね。気づかないうちに偽のページが表示されているのは怖いですね。マルウェア感染の厄介なところは、マルウェア自身の設定情報が随時アップデートされることです。ユーザーのパソコンはネットワークに接続されていますから、ネットワークを介して、「このドメインにアクセスしたときにこの画面を表示する」という情報が随時更新されていきます。言うなれば、ユーザーのパソコンが攻撃者の意のままに操られる状態になってしまうのです。マルウェア感染の手口には他にも特徴がありますか?「Webインジェクション系」のほかに、「MITB(マン・イン・ザ・ブラウザー)系」と呼ばれる攻撃もあります。これは、マルウェアに感染すると、ユーザーのブラウザーの通信内容が改ざんされてしまうというものです。正規のページからユーザーが「Aさんに振り込みます」という処理をしたら、Aさんに振り込まれたという結果画面がブラウザーに表示され、口座番号や金額などが表示されます。実際の通信では別のBさんという口座に送金されています。このように、送金処理を乗っ取るのがMITB系の特徴です。「Webインジェクション系」と「MITB系」を混同した表現がされることがありますが、それぞれは別物であるということを覚えていただきたいと思います。知らない間に通信内容が書き換えられてしまうのは怖いですね。MITB攻撃はユーザーが被害に気づきにくい上に、ユーザー認証が成功した後のブラウザー(による処理)が乗っ取られてしまうので、ワンタイムパスワードなどの強固なユーザー認証を導入していても防ぎきれない点が厄介です。日本の銀行をターゲットにしたMITB攻撃は今のところ確認されていません。発覚していないだけという可能性もありますが、今後、上述したようなフィッシングや、Webインジェクション系の手口が知れ渡り、対策が進むようになると、MITB系の手口が広がってくるかもしれません。Broker」の頭文字を取ったもので、企業にお...MITB(マン・イン・ザ・ブラウザー)攻撃とはMITB攻撃とは、悪意の攻撃者がユーザーのPCにトロイの木馬などのマルウェアを侵入させて通信を監視し、オンラインバンクに...クッキーモンスター問題とはクッキーモンスター問題(クッキーモンスターバグとも呼ぶ)とは、Webブラウザーに存在する脆弱性の一つ。trail、オーディットトレイル)とは、情報システムへのアクセス状況や操作内容、データ処理内容など...マイクロセグメンテーションとはマイクロセグメンテーションとは、ネットワークの単位を、細かく切り分ける(セグメンテーションする)ことを指す。楽しみながら学ぶセキュリティいろはかるたセキュリティかるたセキュリティ虫めがねDr.セキューリのクイズセキュオネア編集部よりこのサイトについて運営会社SNSポリシーTweet2010年9月30日以前に公開されたコンテンツについては、本文中の社名は当時のもの(日立システムアンドサービス)となっております。