平成27年度のネットバンキングの不正送金被害総額は約30億7300万円で、一昨年の約2倍というペースで年々増加しておりますが、その手法が大きく変化しています。 従来の不正送金手口は、銀行のサイトに似せた偽サイトへ誘導し、IDやパスワード・セキュリティコードを入力させるというフィッシング攻撃でしたが、現在 猛威を振るっているのはMITB（マン・イン・ザ・ブラウザ）攻撃といって、正規の銀行サイトにログインしたことを検知した後にブラウザを乗っ取り、その 通信内容を改ざんすることで、本人に気づかれないまま不正送金を行うという手口です。サーバー側の不正がしにくくなったので、ユーザー（クライアント）側を巧みに操作してしまおうという手法です。
MITBの脅威は主に下記３点です
１）正規の銀行サイトで実行され、画面の見た目には正常な表示がされるため、正規の振込み操作をしているのと見分けがつかない点２）そのPC用にかたちを変えてしまうため、ウィルス対策ソフトで検知されない点 感染してしまうとそのPC固有の環境情報を埋め込んで新たなプログラムを作成するため、そのPC専用のプログラムとして動作し、ウィルス対策ソフトのパターンマッチでは検知できません。 ３）ソフトウェアキーボードやワンタイムパスワード等の対策をしても意味がない点 正規銀行サイトへログイン後にブラウザを乗っ取られるため、これらの対策は意味を成しません。むしろ、正規の操作をすることで不正送金を手助けするかたちになってしまうのです。 ユーザーは一般的なセキュリティ対策を行っていても不正送金されてしまうため、被害拡大の一途を辿っています。
MITB対策とは
【必須対策】 ・MITB対策ソフトウェアの導入 無料のネットバンキング対策ソフトであるラポートやPhishWall（フィッシュウォール）を導入し、最新の状態を維持します。 ラポート： http://www.trusteer.com/ja/products/trusteer-rapport-for-online-banking-ja PhishWall（フィッシュウォール）： http://www.securebrain.co.jp/products/phishwall/ ・OS、ブラウザ、Adobe Reader、Flash、Javaのソフトウェアを常に最新の状態にすること この“常に”という点が重要で、「アップデートしているから大丈夫」と思っている方が多いようですが、実際にはソフトウェアの脆弱性が発見されてからソフ トウェアがアップデートされるまでの僅かな時間を狙ってマルウェアに感染するゼロデイアタックが多く発生しています。アップデートのチェックは自動で【毎 日】実行するように設定することはもちろんのこと、GWや夏季休暇などの長期休暇後も狙われやすいので手動でアップデートチェックをするなどの対策が必要 です。 【推奨対策】 ・セキュリティ対策ソフトの見直し 「セキュリティ対策ソフトは入れているから大丈夫」と思っていませんか？ソフトによって機能や検知率は異なるので、特にMITB対策には下記２点に注意してセキュリティ対策ソフトを見直すことをお奨めします。 ・MITBはパターンマッチングでは検知できないため、振る舞い検知（ビヘイビア法）機能の高いセキュリティ対策ソフトであること。 ・万が一マルウェアに感染した場合でも、PCへの侵入を防御するためのHostIPS（ホストベースの侵入検知）機能を持っていること。 ・ネットバンキング専用PCを用意する MITBはホームページの閲覧やメールから感染します。 ネットバンキング専用PCを用意し、ネットバンキング専用PCではネットバンキング以外のホームページを閲覧せず、メールの受信を行わないようにすること でリスクを大幅に軽減することができます。旅行大手のH.I.S.のホームページを見ただけでMITBへ感染した例もあり、大手ホームページだから安心と いうことはありません。 ・次世代ファイアーウォール(UTM)の導入 パソコン上での対策には限界があり、また使用する人によってもセキュリティレベルに差がでてきてしまいます。家に例えると、玄関のカギを強固にするだけで はなく、門のセキュリティを強化することで玄関のカギに触らせない状態を作ることが重要です。次世代ファイアーウォール(UTM)は、ネット接続の入り口 に設置することで、ウィルス・マルウェア対策、侵入検知(IDS)・侵入防止(IPS)、Webフィルタリング等の社内ネットワーク全体の総合セキュリ ティ対策ができます。 ・総合セキュリティ対策 ネットバンキング対策に限らず、情報漏洩対策やマイナンバー対策等、企業が求められているセキュリティレベルは高くなっています。 サイバーセキュリティソリューションズでは、「①ゲートウェイ対策」「②PC対策」「③統合管理」の３点について、総合的に対策を行うことを推奨しています。 PCの設定変更等、ご自分ですぐにできることも多いので、より高いセキュリティを目指して対策を行って下さい。 ～参考情報～ 平成26年上半期のインターネットバンキングに係る不正送金事犯の発生状況について（警察庁）： http://www.npa.go.jp/cyber/pdf/H260904_banking.pdf 2014年版情報セキュリティ10大脅威（独立行政法人情報処理推進機構）： http://www.ipa.go.jp/security/vuln/10threats2014.html 対策ソフトで検知不能、ネット銀行被害最悪に（読売オンライン）： http://www.yomiuri.co.jp/it/security/goshinjyutsu/20140516-OYT8T50146.html エイチ・アイ・エスのウィルス感染告知(H.I.S.)： http://www.his-j.com/info/20140530_v01.pdf
PARTNER
