・「GOOSEC」開発の背景GIVは2022年4月より、Web/オンラインスキミングの防御/検知ソフトウェア「GOOSEC」の提供を開始しました。オンラインスキミング攻撃は、従来のページの改ざん検知などの技術では防ぐことが困難で、サイトの管理者自身が被害の発生に気づくことすら難しく、長期間被害が出続けるケースも少なくありません。DSS)※1の新バージョン4.0でもオンラインスキミング対策に特化した要件も追加されております。GIVはWeb/オンラインスキミングの被害からECサイトを運営している事業者、ECサイト利用者双方を保護し、健全なECサイト運営の手助けになりたいという想いからGOOSECを開発しました。晃市郎)より技術提供を受け、Webサイトの制作運用保守を事業とするGIV社が製品開発したソフトウェアです。・「GOOSEC」とはWeb/オンラインスキミング防御/検知ソフトウェア「GOOSEC」は、既存のサイバーセキュリティ対策製品だけでは対策の難しいスキミング攻撃を検知・防御するソフトウェアです。ユーザーのブラウザ操作をトレースする対話型クローラーと悪性のAPI通信を防御/検知するスクリプトを併用することで、Web/オンラインスキミングの被害からリアルタイムで保護することが可能です。DSSに新設されたオンラインスキミングを防止する要件にも対応することが可能です。GOOSECは、GIVを中心に2021年11月30日に技術特許の出願がされております。GOOSECの概要図は以下の通りとなります。「GOOSEC」の検知用スクリプトを対象のコンテンツに挿入いただくだけで、オンラインスキミングをリアルタイムに防御することが可能です。ECサイトに訪れたユーザーが入力したクレジットカード情報や個人情報を外部に転送する通信自体を遮断するため、情報流出を防ぐことができます。オンラインスキミングの手口として、偽の決済画面に誘導されて情報を搾取されてしまうという被害があります。「GOOSEC」のクローラーは、シナリオに応じてサイトのクロールを行い、決済画面の遷移やログイン後のユーザー管理画面での情報入力など、サイト内でユーザーが辿る経路を模倣し、その経路の正常性を監視することができます。クローラーを用いることで、偽の決済ページに誘導されるような改ざんがどのページで発生したのかを検知、ECサイトの管理者に通知することで被害を最小限に抑えることができます。ECサイトの管理者アカウントが不正アクセスされた場合やWebアプリケーションの脆弱性により、オンラインスキミング防御/検知用のスクリプト自体が無効化されるという改ざんが想定されます。その場合でも、GOOSECのクローラーが対象コンテンツを巡回する際、クローラープログラム自身で検知用スクリプトを挿入・実行するため、オンラインスキミングの検知が可能です。オンラインスキミング検知用スクリプトが無効化されていたことを管理者にアラートで通知することもできます。保護対象のデータ(個人情報、クレジットカード情報等)の流出を防御もしくは、検知した時や偽画面に遷移された際にアラートが上がるため、不要なアラートは上がらず運用負荷が低いです。下記の3つのカテゴリで検知アラートがあがるため運用する上で、セキュリティの専門知識は必要ありません。v4.0では、「消費者のブラウザで表示される決済ページでは、検証済みの認可されたスクリプトのみが読み込まれ、実行されること」や「消費者ブラウザが受信した決済ページのコンテンツに対する不正な変更を警告する」という新要件が追加されております。前述の「GOOSEC」の各種機能により、本要件に対応することができます。DSS):クレジットカードなどペイメントカード会員データを安全に取り扱う事を目的として策定された国際セキュリティ基準。よって策定・管理されている。